Um novo relatório de cibersegurança revelou uma campanha sofisticada de espionagem digital. Criminosos criaram cerca de 30 extensões para o navegador Google Chrome que, sob a aparência de assistentes de Inteligência Artificial (IA), ocultavam códigos maliciosos para capturar dados sensíveis de mais de 260 mil vítimas.
Embora apresentassem nomes e visuais diferentes, todas as extensões compartilhavam a mesma infraestrutura de comando.
O “Cavalo de Troia” da Produtividade
As extensões prometiam funcionalidades modernas, como resumir textos e redigir e-mails. A fraude era tão convincente que algumas delas chegaram a receber o selo de “Destaque” na loja oficial do Google, conferindo-lhes uma falsa aura de legitimidade.
Como a Espionagem Funcionava (Arquitetura Técnica)
A estratégia dos atacantes foi desenhada para burlar as análises de segurança da Chrome Web Store:
- IFrames Remotos: Em vez de manter o código malicioso dentro da extensão, elas abriam uma “janela invisível” (iframe) que carregava conteúdo de servidores externos (como o domínio tapnetic.pro).
- Código Mutável: Como o comportamento real vinha de um servidor fora do controle do Google, a extensão podia parecer inofensiva no momento da instalação e ativar funções espiãs dias depois.
- Captura de Dados: O software utilizava a biblioteca Readability para extrair textos de qualquer página visitada, incluindo painéis administrativos e sistemas internos de empresas.
- Ativação de Microfone: Através da Web Speech API, os criminosos podiam acionar o microfone do usuário e enviar transcrições de áudio para seus servidores.
O Foco no Gmail
Metade das extensões analisadas possuía módulos específicos para monitorar o mail.google.com. Utilizando técnicas que observam mudanças na página em tempo real, os invasores conseguiam ler e-mails, rascunhos e conversas no exato momento em que o usuário interagia com a plataforma.
Estratégia de Persistência e Evasão
Os criminosos utilizaram uma tática conhecida como extension spraying. Quando o Google identificava e removia uma extensão, em poucos dias uma cópia idêntica era publicada com novo nome e identificação.
O domínio central da operação, tapnetic.pro, mantinha uma fachada de empresa legítima, mas servia apenas como centro de comando e controle (C2) para gerenciar o fluxo de informações roubadas.
Conclusão do Relatório: A periculosidade desta campanha reside no abuso da confiança em ferramentas de produtividade. Ao unir nomes populares de IA a uma arquitetura técnica que oculta o código malicioso, os atacantes criaram um sistema de vigilância silencioso e altamente escalável.
