Uma nova variante do Python NodeStealer deixou de atuar apenas como ladrão de credenciais e passou a incorporar recursos típicos de spyware. A ameaça registra o que a vítima digita, monitora a área de transferência, captura a tela e amplia significativamente a coleta de informações de contas e administradores do Facebook.
O Netskope Threat Labs identificou em agosto de 2026 uma evolução importante do NodeStealer, família de malware baseada em Python acompanhada pelos pesquisadores desde 2023. O código, antes concentrado principalmente no roubo de dados de navegadores e contas do Facebook, agora reúne capacidades de vigilância contínua e uma arquitetura de exfiltração dividida entre dois bots do Telegram.
As vítimas observadas estavam principalmente na Ásia e na América do Norte e distribuídas por diferentes segmentos, com maior presença no setor de serviços financeiros. Embora a telemetria divulgada não indique concentração no Brasil, o conjunto de técnicas é relevante para organizações brasileiras que administram redes sociais, publicidade digital e contas corporativas a partir de estações de trabalho.
De infostealer a plataforma de espionagem
A principal mudança está na capacidade de observar continuamente a atividade da vítima. O keylogger utiliza a biblioteca pynput para registrar teclas pressionadas e mantém a coleta em segundo plano. Segundo a análise da Netskope, o arquivo com as teclas capturadas é enviado ao canal principal do Telegram a cada 120 segundos e depois tem seu conteúdo apagado, reiniciando o ciclo.
O malware também monitora textos copiados para a área de transferência, realiza capturas de tela e amplia os alvos locais para incluir senhas de redes Wi-Fi, arquivos armazenados na pasta de imagens e dados de navegadores adicionais. Na prática, a exposição deixa de se limitar às credenciais previamente salvas: senhas digitadas, informações copiadas, documentos abertos e conteúdos visíveis na tela podem entrar no conjunto de dados roubados.
Facebook passa a revelar muito mais sobre a vítima
A expansão também ocorre na Graph API do Facebook. Versões anteriores consultavam apenas dois endpoints. A variante analisada pela Netskope consulta mais de 20, cobrindo identidade, conexões sociais, publicações, grupos, páginas administradas, campanhas e contas de publicidade, atividades comerciais, integrações e informações relacionadas à segurança da conta.
Esse volume permite construir um perfil muito mais completo da pessoa responsável pelas contas. Para um invasor, a combinação entre cookies de sessão, credenciais, informações profissionais, ativos publicitários e relações sociais pode facilitar tomada de contas em outras plataformas, fraudes por personificação, ataques direcionados contra contatos e comercialização de conjuntos de dados mais valiosos.
Dois bots do Telegram separam os dados roubados
A infraestrutura de comando e controle também foi modificada. O bot principal recebe um arquivo contendo credenciais de navegadores, senhas e bancos de cookies, enquanto um segundo bot recebe especificamente os dados extraídos do Facebook. Os pesquisadores consideram que a separação pode favorecer tanto a especialização operacional quanto a resiliência: a interrupção de um token não necessariamente elimina o segundo fluxo de exfiltração.
Notícias Relacionadas
Agentes de IA fora dos limites: quando automação amplia o risco
Indícios de desenvolvimento assistido por IA
A Netskope encontrou características no novo código consideradas compatíveis com assistência de modelos de linguagem. Entre elas aparecem o uso sistemático de emojis nos registros das funções recém-adicionadas e blocos de chamadas à Graph API estruturados de maneira semelhante, características que não estavam presentes nas amostras anteriores analisadas.
Essa observação deve ser tratada com precisão: os pesquisadores falam em indícios de desenvolvimento assistido por IA, não em prova conclusiva de autoria por inteligência artificial. Ainda assim, o caso reforça como ferramentas generativas podem reduzir o esforço necessário para ampliar funcionalidades de código, inclusive quando utilizadas em desenvolvimento malicioso.
O impacto para empresas vai além da conta do Facebook
O risco é especialmente relevante quando a estação comprometida pertence a profissionais que administram páginas, campanhas publicitárias, contas comerciais ou outros ativos digitais. Uma sessão válida ou uma credencial administrativa pode funcionar como ponto de partida para fraude, alteração de campanhas, personificação da organização e movimentos posteriores contra serviços corporativos.
Por isso, a proteção não deve depender somente da senha. Autenticação multifatorial resistente a phishing, revisão periódica de sessões e acessos ativos, redução de privilégios administrativos, proteção de endpoints e monitoramento de comportamentos anômalos diminuem a superfície disponível ao invasor. Contas usadas para administração de redes sociais e publicidade devem receber controles compatíveis com o impacto que seu comprometimento pode provocar.
Conclusão
A evolução do NodeStealer mostra uma tendência importante no ecossistema de infostealers: o roubo pontual de credenciais pode ser combinado com vigilância contínua e coleta de contexto suficiente para sustentar ataques posteriores. Ao transformar teclado, área de transferência, tela, navegador e APIs de redes sociais em fontes simultâneas de inteligência, o malware aumenta tanto a quantidade quanto o valor dos dados obtidos.
Para as organizações, a resposta passa por reduzir privilégios, proteger identidades e endpoints e tratar contas de redes sociais e publicidade como ativos corporativos críticos. Quando uma única estação concentra acesso a múltiplos serviços, o comprometimento deixa de ser um incidente isolado no Facebook e pode se transformar em uma porta de entrada para fraudes e invasões em outros ambientes.
Fontes e referências
Netskope Threat Labs — Python NodeStealer: AI-Assisted to Full Spyware
BGD e-GOV CIRT — Python NodeStealer Evolves into Full-Featured Spyware
Inforchannel — Malware ganha novas funções de espionagem e rouba senhas e dados do Facebook
Be the first to comment