NodeStealer evolui para spyware, rouba senhas e amplia espionagem no Facebook
Uma nova versão do malware NodeStealer deixou de funcionar apenas como um ladrão de credenciais e passou a incorporar recursos característicos de spyware. A ameaça agora consegue registrar tudo o que a vítima digita, acompanhar o conteúdo copiado para a área de transferência, fazer capturas de tela e coletar uma quantidade maior de informações relacionadas a contas pessoais e empresariais do Facebook.
A evolução foi identificada pelo Netskope Threat Labs em agosto de 2026. Desenvolvido em Python e monitorado por pesquisadores desde 2023, o NodeStealer era conhecido principalmente pela extração de dados armazenados em navegadores e pelo foco em contas da Meta. A variante mais recente, porém, combina roubo de informações com vigilância contínua do computador infectado.
As ocorrências analisadas foram registradas sobretudo na Ásia e na América do Norte, atingindo organizações de diferentes setores. Empresas de serviços financeiros apareceram com maior frequência entre os alvos. Mesmo sem indicação de concentração no Brasil, a ameaça merece atenção de companhias brasileiras que administram páginas, campanhas publicitárias, grupos e perfis corporativos a partir de computadores usados no dia a dia.
Keylogger passa a acompanhar a rotina da vítima
Um dos recursos mais relevantes da nova variante é o keylogger baseado na biblioteca Python `pynput`. A função permanece ativa em segundo plano e registra as teclas pressionadas pelo usuário, incluindo informações que não são salvas automaticamente em nenhum navegador.
Os dados capturados são reunidos em um arquivo e enviados ao canal principal de controle no Telegram em intervalos de aproximadamente 120 segundos. Depois da transmissão, o arquivo é apagado e um novo ciclo de coleta começa. Esse mecanismo reduz a quantidade de dados mantida localmente e dificulta a identificação da atividade durante análises superficiais.
O malware também observa a área de transferência. Dessa forma, textos copiados pelo usuário podem ser capturados, como senhas, códigos de autenticação, chaves de acesso, dados bancários, endereços de carteira digital e trechos de documentos.
Outro recurso é a realização de screenshots. Com isso, o invasor pode visualizar páginas abertas, sistemas internos, conversas, planilhas, painéis de anúncios e qualquer outro conteúdo exibido na tela no momento da captura.
Coleta de dados vai além dos navegadores
A versão atual amplia o escopo da coleta local. Além de credenciais e cookies armazenados em navegadores, o NodeStealer procura senhas de redes Wi-Fi, arquivos presentes em pastas de imagens e dados de outros navegadores instalados no computador.
Na prática, o risco não se limita às credenciais que já estavam salvas. Senhas digitadas manualmente, códigos copiados, documentos visualizados e informações exibidas em sistemas corporativos também podem ser encaminhados aos criminosos.
Essa característica torna a infecção especialmente perigosa em computadores usados por administradores de redes sociais, equipes de marketing, profissionais financeiros e gestores de comércio eletrônico. Uma única estação comprometida pode oferecer acesso a vários serviços e ativos digitais.
Facebook se torna uma fonte mais completa de informações
A expansão também alcança a Graph API do Facebook. Em versões anteriores, o malware consultava apenas dois endpoints. Na amostra mais recente, os pesquisadores identificaram chamadas a mais de 20 endpoints diferentes.
Os dados procurados incluem informações de identidade, conexões sociais, publicações, grupos, páginas administradas, campanhas publicitárias, contas de anúncios, atividades comerciais, integrações e configurações relacionadas à segurança.
Com essa amplitude, o invasor deixa de obter apenas uma senha ou um cookie. Ele pode montar um retrato detalhado da vítima, identificar sua função profissional, descobrir quais páginas administra, verificar relacionamentos comerciais e mapear pessoas que podem ser usadas em golpes posteriores.
Consequências para empresas e administradores
A combinação de cookies de sessão, credenciais, dados profissionais e informações publicitárias aumenta o potencial de fraude. Uma conta invadida pode ser utilizada para criar anúncios maliciosos, alterar campanhas, redirecionar investimentos ou abordar clientes e parceiros em nome da empresa.
Também existe o risco de personificação. O criminoso pode usar publicações, contatos e grupos para produzir mensagens convincentes, solicitar transferências, distribuir novos arquivos maliciosos ou induzir funcionários a revelar informações adicionais.
Em ambientes corporativos, o comprometimento de uma conta do Facebook pode ainda servir como ponto de partida para ataques contra outras plataformas. A mesma senha reutilizada em diferentes serviços, por exemplo, facilita a expansão da invasão.
Dois bots do Telegram dividem os dados roubados
A infraestrutura de comando e controle foi organizada em dois fluxos distintos. Um bot recebe informações como credenciais extraídas de navegadores, senhas e bancos de cookies. O segundo fica dedicado aos dados obtidos no Facebook.
Essa separação pode ter objetivos operacionais. Os criminosos conseguem organizar melhor os dados coletados, distribuir funções entre diferentes operadores e reduzir o impacto caso um dos tokens seja bloqueado. A desativação de um canal não necessariamente interrompe o outro.
O uso do Telegram também oferece praticidade aos atacantes, que podem receber informações rapidamente e administrar a operação por meio de uma infraestrutura simples, sem a necessidade de manter um painel complexo.
Indícios de desenvolvimento com auxílio de inteligência artificial
A análise encontrou características que podem indicar o uso de ferramentas de inteligência artificial durante o desenvolvimento ou a expansão do código. Entre os sinais estão o emprego sistemático de emojis em registros de funções recém-adicionadas e a organização semelhante de diferentes blocos de chamadas à Graph API.
Esses elementos não comprovam que o malware tenha sido criado por uma inteligência artificial. A interpretação mais cuidadosa é que modelos de linguagem podem ter auxiliado os criminosos em partes do processo, como geração de funções, adaptação de bibliotecas e inclusão de novos recursos.
O caso demonstra, contudo, como ferramentas generativas podem diminuir o tempo e o conhecimento técnico necessários para modificar ameaças existentes. Um malware já conhecido pode receber rapidamente novas rotinas de coleta, integração com serviços online e mecanismos de exfiltração.
Como reduzir o risco de infecção
Empresas devem evitar o uso de contas corporativas em computadores destinados a tarefas indiscriminadas, downloads desconhecidos ou navegação sem controle. Também é importante manter sistemas operacionais, navegadores e ferramentas de segurança atualizados.
A autenticação multifator ajuda a proteger contas, mas não elimina todos os riscos. Cookies de sessão roubados podem permitir o acesso mesmo quando há uma segunda etapa de autenticação, dependendo da forma como a plataforma valida a sessão. Por isso, sessões ativas devem ser encerradas após suspeitas de comprometimento.
Outras medidas recomendadas incluem:
– não salvar senhas em navegadores usados para administrar contas críticas;
– utilizar gerenciadores de senhas confiáveis e senhas exclusivas;
– restringir privilégios de administradores de páginas e contas publicitárias;
– revisar sessões, dispositivos conectados e aplicativos autorizados;
– monitorar alterações em campanhas, publicações e informações de pagamento;
– bloquear a execução de scripts e arquivos desconhecidos;
– treinar funcionários para reconhecer anexos, instaladores e páginas falsas;
– investigar comportamentos incomuns, como capturas de tela inesperadas ou processos desconhecidos.
Se houver suspeita de infecção, a organização deve isolar o computador da rede, trocar as senhas a partir de um dispositivo confiável, revogar sessões ativas, invalidar tokens e revisar permissões de aplicativos. Também é necessário verificar se outras contas utilizavam as mesmas credenciais.
A transformação do NodeStealer mostra que os infostealers estão se tornando ameaças mais abrangentes. Eles já não dependem apenas de senhas armazenadas: podem acompanhar a atividade do usuário, observar o conteúdo da tela e explorar informações de plataformas corporativas. Para as empresas, proteger o navegador e a conta do Facebook deixou de ser suficiente; é preciso tratar cada estação de trabalho como um possível ponto de acesso a todo o ambiente digital.