Sites Falsos de Ghidra e SpiderFoot Distribuem Malware por Sistema de Tráfego Sofisticado

Baixar uma ferramenta de segurança confiável como Ghidra ou SpiderFoot por meio de um resultado de busca virou uma atividade de alto risco. Pesquisadores de cibersegurança da Check Point documentaram uma campanha sofisticada e abrangente de distribuição de malware que explora justamente essa confiança. A operação, detalhada em um relatório de 3 de junho de 2026, depende de uma rede de sites falsos com design profissional que interceptam o tráfego do usuário e o empurram por um sistema controlado para entregar seletivamente cargas maliciosas .

Não se trata de um simples esquema de phishing. A campanha combina manipulação de mecanismos de busca, sequestro de cliques via JavaScript hospedado no Amazon CloudFront e um Sistema de Distribuição de Tráfego (TDS) com múltiplas camadas de antianálise para escapar da detecção e atingir apenas as vítimas mais valiosas. O objetivo final é primariamente monetário: a Check Point avalia que a operação é fundamentalmente um esquema de aquisição e monetização de tráfego que também serve como um duto de distribuição para outros distribuidores de malware .

A Cadeia de Ataque: Do Clique no Buscador à Carga Maliciosa

A infecção começa quando um usuário pesquisa por uma ferramenta popular de código aberto. Os atacantes implantaram uma frota de sites falsos que personificam páginas legítimas de projetos como Ghidra, dnSpy e SpiderFoot. Esses sites são bem construídos, muitas vezes fazem referência a fontes reais e ranqueiam alto nos resultados de busca, parecendo portais de projetos legítimos à primeira vista .

O truque técnico é acionado pela interação do usuário. Quando a vítima clica em um botão de "download" em um desses sites, uma camada JavaScript hospedada no CloudFront converte aquele primeiro clique em um redirecionamento. Isso sequestra o usuário para a infraestrutura do TDS da campanha .

Sistema de Distribuição de Tráfego: Filtrando Alvos de Alto Valor

O TDS age como um porteiro sofisticado, não apenas um simples redirecionamento. A análise da Check Point revela que ele aplica múltiplas camadas de antianálise e filtragem para separar as vítimas reais de pesquisadores de segurança, sandboxes e robôs de varredura. Apenas os usuários que passam por essas verificações são encaminhados para as cargas maliciosas finais . Essa entrega seletiva torna a campanha mais difícil de mapear e aumenta o valor de cada infecção bem-sucedida para os operadores. Para dificultar ainda mais a detecção, o sistema usa técnicas como chaves por sessão e liberação de chave de uso único .

O Trio de Malwares: RemusStealer, AnimateClipper e SessionGate

Foi observado que a campanha entrega três famílias distintas de malware, cada uma com um propósito de monetização diferente.

• RemusStealer: Trata-se de um infostealer no modelo Malware como Serviço (MaaS), vendido por assinatura entre US$ 250 e US$ 500. Ele mira uma vasta gama de dados sensíveis, incluindo credenciais de mais de 20 navegadores, dados de mais de 220 extensões de carteiras de criptomoedas, gerenciadores de senhas e ferramentas de autenticação de dois fatores (2FA) .
• AnimateClipper: Um clipper de criptomoedas projetado para sequestrar transações em tempo real, trocando o endereço da carteira que o usuário copia por um controlado pelo atacante. Ele é capaz de monitorar e interceptar transações em mais de 20 ecossistemas diferentes de blockchain .
• SessionGate: Esta estrutura previamente não documentada é um carregador de múltiplos estágios que usa ofuscamento pesado e ampla antianálise para entregar aplicações potencialmente indesejadas (PUAs) ou outras cargas. Em resumo, ele atua como o ponto de apoio inicial e o carregador nas cadeias de ataque observadas .

Uma Operação Global e Duradoura

A escala da campanha é significativa. A Check Point relata que o ecossistema está ativo desde o final de 2025 e gerou mais de 5.000 envios ao VirusTotal, indicando um amplo grupo de vítimas. Os alvos geográficos primários abrangem o globo, com atividade pesada concentrada na Turquia, Polônia, Brasil, Alemanha, França, Rússia e Reino Unido .

Para desenvolvedores e profissionais de segurança, o recado é claro e urgente. Acabou o tempo de baixar uma ferramenta casualmente com base em um resultado de busca. Os usuários devem verificar se estão no repositório oficial do projeto, visitar diretamente a página conhecida no GitHub ou GitLab e desconfiar de qualquer download que não entregue imediatamente o arquivo esperado. O profissionalismo desses sites falsos torna a inspeção visual, por si só, uma defesa insuficiente contra um ecossistema construído sobre confiança roubada e engano automatizado.