NodeStealer evolui para spyware, rouba senhas e amplia espionagem no Facebook
Uma nova variante do malware Python NodeStealer deixou de atuar apenas como um ladrão de credenciais e passou a incorporar funções típicas de spyware. A ameaça agora consegue registrar teclas digitadas, acompanhar a área de transferência, fazer capturas de tela e coletar um volume maior de informações relacionadas a contas pessoais, páginas, campanhas e administradores do Facebook.
A evolução foi identificada pelo Netskope Threat Labs em agosto de 2026. A família de malware é monitorada por pesquisadores desde 2023 e, nas primeiras versões, concentrava-se principalmente no roubo de dados armazenados em navegadores e informações de contas do Facebook. A edição mais recente, porém, combina extração de credenciais com vigilância contínua e uma estrutura de exfiltração distribuída entre dois bots do Telegram.
As infecções observadas ocorreram sobretudo na Ásia e na América do Norte, atingindo diferentes setores econômicos. O segmento de serviços financeiros apresentou a maior presença entre os casos analisados. Mesmo sem indicação de concentração no Brasil, a ameaça merece atenção de empresas brasileiras que administram redes sociais, publicidade digital, páginas corporativas e contas comerciais a partir de computadores de funcionários.
Keylogger passa a acompanhar a vítima em tempo real
A principal mudança do NodeStealer está na capacidade de monitorar continuamente as ações realizadas no computador. O keylogger utiliza a biblioteca Python `pynput` para registrar as teclas pressionadas e operar de forma silenciosa em segundo plano.
Os dados capturados são reunidos em um arquivo e enviados ao canal principal do Telegram em intervalos de aproximadamente 120 segundos. Depois do envio, o conteúdo é apagado, dando início a um novo ciclo de coleta. Esse mecanismo reduz o volume de rastros armazenados localmente e permite que o criminoso receba informações de maneira recorrente.
Além das teclas, o malware verifica textos copiados para a área de transferência, realiza capturas de tela e procura novos tipos de arquivos e credenciais. Entre os alvos estão senhas de redes Wi-Fi, arquivos armazenados na pasta de imagens e dados de outros navegadores.
Na prática, o risco não se limita às senhas salvas automaticamente. Informações digitadas em formulários, códigos temporários copiados, documentos abertos, conversas exibidas na tela e dados apresentados em sistemas corporativos também podem ser capturados.
Coleta ampliada pela Graph API do Facebook
A espionagem também foi expandida por meio da Graph API do Facebook. Amostras anteriores do NodeStealer consultavam apenas dois endpoints. A nova versão acessa mais de 20 pontos da interface, obtendo informações sobre identidade, conexões, publicações, grupos, páginas administradas, campanhas publicitárias e contas de anúncios.
O malware também busca dados de atividades comerciais, integrações e configurações relacionadas à segurança das contas. Essa ampliação permite que o invasor compreenda não apenas quem é a vítima, mas também quais ativos digitais ela controla e com quem mantém relações profissionais ou sociais.
A combinação de cookies de sessão, credenciais, informações de negócios, contatos, páginas e contas de publicidade pode facilitar uma série de golpes. Entre os possíveis usos estão a tomada de contas, a personificação de administradores, a publicação de anúncios fraudulentos, o contato com clientes e parceiros e a venda de perfis completos em mercados clandestinos.
Empresas que utilizam o Facebook para atendimento, divulgação ou gestão de campanhas enfrentam um risco ainda maior. O comprometimento de uma conta pode permitir alterações em anúncios, redirecionamento de verbas, publicação de conteúdo falso e acesso indireto a outros sistemas vinculados à plataforma.
Dois bots do Telegram dividem os dados roubados
A infraestrutura de comando e controle do NodeStealer também mudou. O primeiro bot recebe informações como credenciais de navegadores, senhas e bancos de cookies. Um segundo bot é utilizado especificamente para armazenar dados extraídos do Facebook.
A separação pode ter finalidade operacional. Ao dividir os dados por categoria, o criminoso consegue organizar melhor as informações e encaminhá-las para diferentes etapas da fraude. A estratégia também pode aumentar a resiliência da operação: se um token ou canal for bloqueado, o outro fluxo de exfiltração talvez continue ativo.
Esse modelo dificulta a identificação imediata de todo o comprometimento. Uma equipe de segurança pode detectar tráfego associado a um bot e não perceber que outro canal está sendo utilizado para transferir dados de redes sociais.
Indícios de desenvolvimento com auxílio de inteligência artificial
Os pesquisadores encontraram características no código que podem indicar o uso de ferramentas de inteligência artificial durante o desenvolvimento da nova variante. Entre os sinais estão a utilização sistemática de emojis nos registros de funções recém-adicionadas e a organização semelhante de diferentes chamadas à Graph API.
Esses elementos não comprovam que o malware tenha sido criado integralmente por inteligência artificial. A avaliação aponta apenas indícios de assistência automatizada na programação. Ainda assim, o episódio demonstra como ferramentas generativas podem reduzir o tempo e o conhecimento técnico necessários para modificar códigos maliciosos.
Com auxílio de modelos de linguagem, criminosos podem adaptar bibliotecas, criar novas rotinas de coleta, corrigir erros e ampliar a compatibilidade com sistemas e plataformas. Isso acelera a transformação de um ladrão de credenciais relativamente simples em uma ferramenta capaz de realizar espionagem contínua.
Por que o NodeStealer representa um risco maior
O perigo está na combinação de várias técnicas. Um malware que apenas rouba cookies já pode permitir o acesso indevido a contas. Quando passa a registrar teclas, capturar telas, monitorar a área de transferência e consultar dados comerciais, o alcance do ataque aumenta significativamente.
A infecção de uma única estação de trabalho pode expor informações pessoais e corporativas ao mesmo tempo. Um funcionário pode acessar, no mesmo computador, contas de anúncios, sistemas internos, bancos, plataformas de atendimento e redes sociais. Cada atividade realizada durante a infecção pode fornecer novas pistas para o invasor.
Outro fator preocupante é a possibilidade de uso dos dados em ataques posteriores. Senhas capturadas podem ser testadas em outros serviços, enquanto informações sobre clientes e parceiros podem servir para campanhas de phishing direcionado. Capturas de tela também podem revelar códigos, contratos, painéis administrativos e detalhes de processos internos.
Medidas recomendadas para empresas
A prevenção deve começar pela adoção de autenticação multifator resistente a phishing sempre que possível. A simples troca de senha não é suficiente quando cookies de sessão já foram roubados. Também é importante encerrar sessões ativas, revogar tokens e revisar dispositivos autorizados após qualquer suspeita de comprometimento.
Empresas devem limitar o uso de contas administrativas em computadores utilizados para navegação cotidiana. A separação entre estações de trabalho comuns e ambientes destinados à gestão de anúncios, páginas e recursos financeiros reduz o impacto de uma infecção.
Outra medida essencial é monitorar acessos incomuns, alterações inesperadas em campanhas, criação de novos administradores e mudanças nas configurações de segurança. Equipes responsáveis por redes sociais precisam estabelecer um procedimento para verificar solicitações urgentes e mensagens enviadas a clientes ou parceiros.
No endpoint, soluções de segurança devem ser acompanhadas por políticas de atualização, restrição de execução de scripts e controle de aplicações desconhecidas. Também é recomendável bloquear ou inspecionar comunicações suspeitas com serviços de mensagens utilizados como canais de comando e controle.
Por fim, funcionários precisam ser treinados para reconhecer arquivos maliciosos, instaladores falsos e páginas de login fraudulentas. A combinação entre proteção técnica, privilégios reduzidos, autenticação forte e resposta rápida é a melhor forma de limitar os danos causados por uma variante do NodeStealer com recursos de spyware.