Hackers estão distribuindo o ArmorSteal, uma família de malware baseada em Python, por meio de sites falsos do Chocolatey e do Microsoft Activation-Script, promovidos por envenenamento de SEO (otimização para mecanismos de busca).
O malware combina capacidades de acesso remoto, vigilância e roubo de informações para furtar senhas, cookies de navegador, tokens de autenticação e dados de carteiras de criptomoedas.
A equipe de Threat Hunting da Zscaler identificou a campanha em setembro de 2026 e publicou suas conclusões em 22 de outubro. A operação mira usuários que pesquisam comandos de instalação, transformando a configuração rotineira de um software em uma via de infecção.
Hackers usam sites falsos do Chocolatey e da Microsoft Activation
O domínio com erro de digitação choclatey[.]org se passava pelo Chocolatey e exibia um comando de instalação malicioso do PowerShell. Ao ser executado, o comando instalava o ArmorSteal e também rodava o instalador legítimo do Chocolatey. Assim, o gerenciador de pacotes solicitado funcionava normalmente, o que reduzia os sinais visíveis de comprometimento.
Um segundo domínio, massgravel[.]net, se passava pelo projeto Microsoft Activation Scripts. Componentes de malware compartilhados e uma mesma chave de assinatura de tarefas RSA-2048 (algoritmo de criptografia de chave pública de 2048 bits) vinculavam os dois canais de distribuição à mesma operação.
Ambos os instaladores solicitam privilégios elevados, ocultam o console do PowerShell e baixam um arquivo compactado para C:\Windows\SystemHealth\Update. O pacote contém Python 3.11, arquivos de runtime do Pyarmor e scripts maliciosos protegidos com o Pyarmor 9.1.7.
A persistência é garantida por duas tarefas agendadas. A SysCheck2 inicia o módulo de acesso remoto no logon do usuário, com os maiores privilégios disponíveis. Já a SysCheckX o executa como SYSTEM, após um atraso de 45 segundos na inicialização.
O módulo de acesso remoto, SysMon.py, perfila os sistemas infectados e deriva um identificador da máquina a partir do número de série da placa-mãe. Ele consulta servidores de comando e controle (C2) a cada 60 segundos em busca de tarefas Python específicas para cada vítima e de tarefas para toda a campanha.
Antes de executar as tarefas na memória, o módulo verifica assinaturas RSA-2048 e compara números de versão com valores armazenados localmente. Com isso, impede que instruções antigas ou já processadas sejam executadas novamente.
O ArmorSteal consulta o ipinfo[.]io para obter a titularidade de endereços IP públicos (Protocolo de Internet). Quando provedores de nuvem selecionados aparecem no campo de organização, o malware exibe um falso erro de memória e encerra a execução, o que pode permitir que ele escape de ambientes de análise hospedados na nuvem.
O módulo de vigilância basrq.py registra teclas digitadas e títulos de janelas, verifica o conteúdo da área de transferência a cada meio segundo e substitui endereços de criptomoedas. Também captura telas acionadas por palavras-chave e exibe notificações falsas de transações das carteiras Exodus, MetaMask e Phantom.
O ladrão got.py tem como alvo senhas de navegadores, registros de preenchimento automático, metadados de cartões de crédito, chaves SSH (protocolo Secure Shell), sessões da Steam e dados de gerenciadores de senhas. Ele valida tokens de 22 variantes do cliente Discord e coleta informações de 21 extensões de carteiras e aplicativos de desktop.
Segundo a Zscaler, os cookies de navegador são extraídos pelo Chrome DevTools Protocol na porta 9222, enquanto rotinas adicionais vasculham unidades de disco em busca de frases de recuperação BIP39 (padrão de palavras usado para recuperar carteiras de criptomoedas).
Embora ambos os sites de isca tenham saído do ar, os operadores migraram a infraestrutura para pymons[.]is e datamons[.]org. Equipes de defesa devem investigar as tarefas agendadas, inspecionar o diretório SystemHealth, revisar downloads do PowerShell, monitorar atividades de depuração remota do navegador e remover exclusões não autorizadas do Microsoft Defender.
IOCs (indicadores de comprometimento)
Observação: Endereços IP e domínios foram intencionalmente neutralizados (ex.: [.]) para evitar resolução ou hiperlink acidental. A formatação original deve ser restaurada apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gerenciamento de informações e eventos de segurança).
