O Netskope Threat Labs identificou uma nova variante do NodeStealer, vírus escrito em Python, que ampliou bastante a sua capacidade de roubar informações. Antes focado no Facebook, ele agora vai muito além: grava tudo o que o usuário digita no teclado, monitora o que é copiado e colado, faz capturas de tela e rouba senhas e cookies armazenados nos navegadores.

As informações coletadas são enviadas para dois bots diferentes no Telegram. Um deles recebe credenciais, senhas e cookies dos navegadores, enquanto o outro concentra especificamente os dados extraídos do Facebook, incluindo informações sobre os administradores das contas.

O vírus também procura senhas de redes Wi-Fi, arquivos de imagem salvos no computador e dados de outros dois navegadores. Com todas essas funções juntas, o NodeStealer passou a se comportar como um spyware, categoria de programa que monitora as atividades do usuário e coleta informações sem que ele perceba.

Os pesquisadores também encontraram indícios de que partes do código podem ter sido desenvolvidas com auxílio de inteligência artificial. Os sinais apontados são o uso sistemático de emojis nos registros do programa e um padrão de estrutura de código que não aparecia nas versões anteriores do NodeStealer, características compatíveis com código produzido por modelos de linguagem.

As vítimas identificadas estavam concentradas principalmente na Ásia e na América do Norte, com maior incidência no setor de serviços financeiros.