A empresa de cibersegurança Check Point identificou uma campanha maliciosa altamente sofisticada que utilizou de forma abusiva plataformas de confiança — como o GitHub, SourceForge, YouTube e até o verificador VirusTotal. O grande objetivo? Fabricar uma reputação de legitimidade para espalhar um clipper, um tipo de vírus silencioso desenhado especificamente para desviar transferências de criptomoedas no momento do Ctrl+C / Ctrl+V.

A rede coordenada era gerida por um único cibercriminoso sob o pseudónimo @JoseCmanXD. Através de dezenas de perfis falsos, o pirata promovia softwares milagrosos para ganhar dinheiro fácil com ativos digitais, fazendo com que as vítimas descarregassem o código que lhes limpava os fundos da carteira de forma invisível.

O que é um Clipper e como funciona a rasteira do Ctrl+C?

Os endereços das carteiras de criptomoedas (chaves públicas) são sequências longas, complexas e impossíveis de memorizar. Por esse motivo, quase 100% dos utilizadores limita-se a copiar o endereço e a colá-lo na sua corretora ou aplicação para efetuar um pagamento. É precisamente aí que o vírus atua:

• Monitorização em background: O malware vigia continuamente a área de transferência do seu computador (Windows ou Mac) e deteta quando você faz Copy.
• A substituição relâmpago: Se a sequência de caracteres corresponder a uma carteira de cripto (como Bitcoin, Ethereum ou Solana), o vírus substitui instantaneamente o endereço copiado por um dos endereços do burlão.
• O desvio: Se você não verificar os caracteres um a um antes de carregar em “Confirmar”, o seu dinheiro é enviado diretamente para a conta do atacante sem possibilidade de reversão física na rede.

Como a reputação foi fabricada de forma falsa

Para convencer utilizadores avançados e investidores a descarregarem o vírus, o hacker inflacionou as métricas de confiança nas maiores plataformas da internet:

A promessa de lucro fácil e as duas frentes de ataque

O esquema utilizava um site em WordPress estruturado para atrair investidores que procuravam ferramentas automatizadas de alta frequência, tais como:

• Bots de compra rápida: Programas prometiam comprar memecoins no exato milissegundo do lançamento nas redes descentralizadas.
• Previsores de jogos (“Aviator Predictor”): Algoritmos falsos que alegavam adivinhar o resultado de jogos de apostas online (crash games).

Nenhuma destas ferramentas continha código funcional de trading; funcionavam apenas como uma “casca” para instalar o vírus nos dois principais sistemas operativos do mercado:

Ataque no Windows: O utilizador descarrega um ficheiro ZIP com o nome SniperBot_Premium(Free).exe. Ao ser executado, o programa instala um vírus escrito na linguagem de programação Rust, que se configura para arrancar sozinho sempre que liga o PC. O desvio é instantâneo e o script cruza os dados com uma lista interna de mais de 15.500 carteiras controladas pelo hacker.

Ataque no macOS (Mac): O ficheiro malicioso adota o nome unlocker.command. Através de engenharia social, o tutorial induz a vítima a abrir o terminal e a desativar manualmente o Gatekeeper (a barreira de segurança nativa da Apple), abrindo a porta à execução e leitura da memória RAM do Mac.

Conclusão: As métricas digitais podem ser compradas

O alerta da Check Point serve como um aviso severo para quem mexe com informática e finanças digitais. Estrelas no GitHub, milhares de downloads no SourceForge ou comentários elogiosos no YouTube já não são garantias absolutas de que um software é seguro. Se você realiza movimentações financeiras com criptoativos, a sua melhor linha de cibersegurança é a desconfiança e a validação manual. Perder escassos cinco segundos a conferir os primeiros e os últimos quatro dígitos do endereço colado antes de clicar no botão de envio é a única barreira infalível que nenhum algoritmo consegue corromper em background.