A ferramenta de hacking ético RedTiger foi usada indevidamente para roubo de dados de navegadores e do Discord

Entendendo a ameaça dos ladrões de informações da RedTiger: insights e proteções

O RedTiger é um conjunto de ferramentas de código aberto originalmente projetado para aplicações éticas, como testes de segurança empresarial. Infelizmente, cibercriminosos transformaram suas capacidades de roubo de informações em uma arma direcionada a jogadores, buscando extrair informações confidenciais de contas de jogos e financeiras.

Análise dos mecanismos de roubo de dados da RedTiger

A natureza aberta do código-fonte do RedTiger permitiu que inúmeros hackers o modificassem e compilassem em arquivos executáveis independentes para Windows (.exe) usando o PyInstaller. Esses binários maliciosos são frequentemente renomeados para parecerem atraentes e familiares aos jogadores, disfarçando-se de mods de jogos, otimizações ou funcionalidades do Discord.

Após infectar com sucesso um dispositivo alvo, o malware executa uma série de tarefas prejudiciais, incluindo:

Coleta de Tokens do Discord: O malware identifica tokens do Discord e arquivos relacionados, valida sua autenticidade e injeta JavaScript personalizado no cliente Discord, interceptando assim as chamadas da API. Isso permite a interceptação de nomes de usuário, senhas, status de autenticação multifator (MFA) e informações de faturamento/pagamento.
Extração de dados do navegador: captura uma grande quantidade de dados do navegador, incluindo senhas salvas, cookies, histórico de navegação, informações de pagamento e detalhes sobre extensões instaladas.
Roubo de arquivos de criptomoedas e jogos: O programa infostealer é capaz de copiar arquivos de carteiras de criptomoedas e acessar diretórios relacionados a jogos, como cookies e APIs do Roblox.
Operações de vigilância: Pode capturar imagens da área de trabalho e utilizar a webcam do dispositivo para espionagem.

Todos os dados capturados são enviados para um serviço de armazenamento em nuvem, o GoFile. Em seguida, o link recuperado é enviado aos cibercriminosos por meio de um webhook do Discord. Os infostealers com RedTiger também utilizam estratégias avançadas de evasão para burlar a detecção, como mecanismos anti-sandbox e técnicas de ofuscação de processos, o que pode confundir as análises de malware.

Estratégias essenciais para se proteger contra roubo de informações da RedTiger

Para se proteger das ameaças representadas pelo RedTiger, é essencial implementar medidas preventivas e de resposta. Aqui estão algumas práticas recomendadas para manter sua segurança:

Tenha cautela ao usar links EXE de fontes não oficiais.

A disseminação de programas que roubam informações, como o RedTiger, geralmente depende de canais não oficiais e interações diretas. Esses links costumam circular em canais do Discord, posts em fóruns, comentários do YouTube e mensagens privadas. Tenha cuidado e evite baixar qualquer programa que afirme ser um otimizador de jogos ou um hack, a menos que você possa confirmar sua legitimidade.

Ferramentas legítimas para jogos geralmente possuem sites estabelecidos e uma boa reputação na comunidade. Se o seu antivírus emitir um alerta durante o processo de download, definitivamente não prossiga.

Utilize a autenticação por chave de acesso no Discord.

Para mitigar os riscos associados a nomes de usuário e senhas comprometidos, é recomendável habilitar a autenticação por chave de acesso para sua conta do Discord. Esse recurso exige o PIN do Windows do seu dispositivo ou uma chave de segurança de hardware para acesso, tornando as credenciais roubadas ineficazes.

Para ativar essa função, acesse Configurações do usuário → Minha conta e selecione Registrar uma chave de segurança na seção Chaves de segurança.

Opção de senha nas configurações do Discord

Evite armazenar senhas e dados de pagamento no seu navegador.

Embora os navegadores possam insistir para que você salve senhas, usar o gerenciador de senhas integrado ao navegador pode não oferecer o melhor nível de segurança. O armazenamento do navegador pode ser vulnerável a ataques de roubo de informações, que podem descriptografar dados armazenados localmente. Em contrapartida, gerenciadores de senhas dedicados criptografam suas credenciais e todos os dados armazenados usando uma senha mestra conhecida apenas por você.

Para obter proteção ideal, utilize um gerenciador de senhas dedicado e confiável. Opções gratuitas, como o KeePass, podem oferecer segurança segura.

Limitar os direitos de acesso do administrador

Muitas operações iniciadas por programas maliciosos de roubo de informações, como o RedTiger, exigem privilégios de administrador. Tenha cautela ao conceder esse acesso a aplicativos desconhecidos, especialmente aqueles que aparecem inesperadamente. Uma abordagem prudente envolve o uso de contas de usuário padrão para tarefas regulares e, possivelmente, a manutenção de uma conta de usuário separada dedicada a jogos.

Restrinja o acesso do seu PC ao GoFile.

As evidências mostram que agentes maliciosos programaram o programa de roubo de informações para transmitir dados roubados para o armazenamento em nuvem GoFile, uma tática usada para permanecerem indetectáveis. Se você não precisa do GoFile para fins legítimos, considere bloquear o acesso a ele por meio do arquivo hosts do Windows para evitar qualquer exfiltração de dados.

Para bloquear o GoFile, abra o arquivo hosts e adicione as seguintes linhas:

0.0.0.0 gofile.io 0.0.0.0 www.gofile.io 0.0.0.0 gofile.me 0.0.0.0 api.gofile.io

Medidas a serem tomadas caso seu computador seja infectado

Se você suspeitar que seu computador foi vítima de um ladrão de informações, é necessário agir rapidamente para proteger suas contas e dados pessoais. Siga estes passos:

Desconecte imediatamente o seu computador da internet ou desligue-o da tomada, se possível.
Use um dispositivo limpo para alterar as senhas do Discord e de todas as outras contas acessadas no computador infectado. Habilitar a autenticação multifator oferece uma camada adicional de proteção contra possíveis explorações.
Para mitigar os riscos de uso indevido do token de sessão, faça logout de todos os dispositivos usando as configurações de segurança dos serviços afetados, como o Discord ou sua conta do Google.

Após esses passos iniciais, consulte recursos para remover o malware do seu sistema, utilizando software antivírus ou métodos manuais. Além disso, este malware específico não persiste após a redefinição do sistema operacional, tornando a redefinição uma opção viável para a recuperação.

Embora os jogadores sejam um alvo principal para os ladrões de informações infectados pelo RedTiger, a ameaça se estende a todos os usuários. A capacidade do malware de extrair dados do navegador, carteiras de criptomoedas e realizar vigilância não autorizada representa um risco significativo. Para reforçar suas defesas, habilite os recursos de segurança oferecidos pelo Windows e utilize as opções avançadas do Microsoft Defender.

Fonte e imagens