Phishing no GitHub usa alertas falsos do VS Code

Distribuição Automatizada via GitHub Discussions

A campanha se destaca por sua grande escala, com pesquisadores da Socket relatando que milhares de mensagens quase idênticas surgem em diversos repositórios em um curto intervalo de tempo. Os invasores estão explorando o recurso GitHub Discussions para disseminar alertas de segurança falsos sobre o Visual Studio Code. Como o Discussions envia notificações por e-mail para participantes e seguidores, as mensagens alcançam desenvolvedores inclusive fora da plataforma, aumentando a credibilidade e o alcance do ataque. Este método permite que os cibercriminosos contornem filtros de spam tradicionais, entregando iscas altamente convincentes diretamente nas caixas de entrada dos desenvolvedores por meio de uma plataforma de confiança.

Imagem cortesia de Cybersecurity News

Avisos de Segurança Forjados e Engenharia Social

As postagens falsas se passam por comunicados oficiais de segurança, utilizando títulos alarmistas como "Visual Studio Code – Vulnerabilidade Grave – Atualização Imediata Necessária" ou "Exploit Crítico – Ação Urgente Requerida". Frequentemente, essas mensagens citam identificadores CVE fictícios e versões específicas do VS Code para gerar confiança. Em muitos casos, os atacantes personificam mantenedores conhecidos ou pesquisadores de segurança. Os usuários são instados a instalar uma versão "corrigida" por meio de links de download externos, muitas vezes hospedados em serviços de compartilhamento de arquivos como o Google Drive. Embora isso fuja do fluxo normal de distribuição de extensões do VS Code, o uso de serviços de terceiros confiáveis torna a ameaça menos perceptível para desenvolvedores ocupados.

Redirecionamento em Várias Etapas e Profiling de Navegador

A análise da infraestrutura do ataque revela um sofisticado Sistema de Distribuição de Tráfego (TDS). Quando um usuário clica no link, ele é roteado através de um endpoint de compartilhamento do Google. A partir daí, o caminho se divide: usuários com um cookie válido do Google são redirecionados para um domínio de comando e controle (C2) sob o poder dos invasores, enquanto aqueles sem o cookie são direcionados para uma página de coleta de impressões digitais (fingerprinting). Essa infraestrutura utiliza uma página JavaScript ofuscada para coletar dados como:

• Fuso horário e localidade (locale)
• Informações do navegador e User Agent
• Plataforma do sistema operacional
• Indicadores de análise automatizada (ex: navigator.webdriver)

Este mecanismo serve como uma camada de filtragem para distinguir vítimas reais de bots e pesquisadores de segurança.

Evasão Técnica e Snippets de Reconhecimento

A campanha utiliza um script de reconhecimento em JavaScript leve e altamente ofuscado. Ele não instala o malware imediatamente; em vez disso, traça o perfil do ambiente para garantir o sucesso de um exploit subsequente. Truques de evasão incluem filtros CSS de rotação de matiz (hue-rotate) e iframes ocultos para detectar simulações de ambiente (spoofing). Um trecho desofuscado do código de profiling revela como o script captura o estado do sistema:

let d = -new Date().getTimezoneOffset();  // Desvio de UTC
let su = navigator.userAgent;             // User agent
// ... (dados completos de fingerprint enviados silenciosamente via POST)

Os dados coletados são codificados e enviados automaticamente através de uma requisição POST de formulário invisível para o servidor C2. Este nível de consciência sobre segurança digital é essencial para desenvolvedores, visto que o ataque se apresenta como uma ameaça em evolução que mescla engenharia social com o abuso de plataformas legítimas.

Mitigação e Segurança para Desenvolvedores

Para se defender contra essas campanhas, os desenvolvedores devem exercer cautela extrema com alertas de segurança não solicitados em plataformas colaborativas. Correções legítimas para softwares relacionados a sockets ou IDEs nunca serão distribuídas por meio de links de compartilhamento de arquivos de terceiros. Especialistas em segurança recomendam:

• Verificar todas as alegações de segurança por meio dos canais oficiais da Microsoft.
• Analisar minuciosamente notificações originadas de contas recém-criadas ou com baixa atividade.
• Denunciar Discussions suspeitas diretamente ao suporte do GitHub.
• Utilizar ferramentas robustas de privacidade online e autenticação de dois fatores para proteger ambientes de desenvolvimento.

Analista especialista em VPN com mais de 8 anos de experiência em privacidade online e segurança cibernética. Especializado em tecnologia VPN, segurança digital e proteção de dados. Entusiasta em ajudar usuários a navegar no complexo mundo da segurança online e em tornar a configuração de VPNs acessível para todos ao redor do mundo.

Para garantir que seu ambiente de desenvolvimento permaneça seguro e seus dados privados, explore o que há de mais moderno em tecnologia de proteção em squirrelvpn.com.