🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Os invasores modificaram um arquivo JavaScript fornecido pela empresa de tecnologia de publicidade Adform, transformando-o em uma ferramenta do navegador que reescreve endereços de carteiras de criptomoedas.
Adform detectou o incidente em 27 de julho de 2026, removeu o código malicioso, notificou os clientes afetados e relatou às autoridades.
Qualquer pessoa que visitou um site que continha o script afetado em 27 de julho e copiou um endereço Bitcoin, Ethereum ou Tron pode ter colado um endereço diferente inserido pelo código malicioso.
Adform está dizendo às pessoas para limparem o cache do navegador porque o arquivo alterado pode permanecer em cache após a correção e para verificar qualquer endereço de carteira antes de enviar fundos.
Adform diz que o código não foi projetado para instalar software ou estabelecer persistência e funcionou apenas enquanto a página afetada permanecia aberta. A amostra capturada também reescreve os endereços inseridos diretamente nos campos do formulário, portanto, a cópia da área de transferência não era o único caminho para a substituição.
A linha do tempo pública não está resolvida. O aviso da Adform identifica 27 de julho como a data afetada; Kevin Beaumont diz que viu atividades maliciosas via Adform na semana passada.
O recurso comprometido é trackpoint-async.js, servido por s2.adform[.]net. A documentação de implementação do Adform diz que o código de rastreamento pode ser executado em uma página, em várias seções ou incondicionalmente em um site inteiro. O comprometimento desse recurso compartilhado proporcionou aos invasores uma rota para sites downstream não relacionados, sem a necessidade de violar cada um deles separadamente. O caminho de implantação partilhado torna isto um compromisso da cadeia de abastecimento.
Enquanto a página afetada permanecesse aberta, um endereço alterado no ponto de pagamento poderia redirecionar uma transferência.
Beaumont, um pesquisador de segurança independente, divulgou o compromisso e escreveu: “Mesmo que você perceba que o endereço está errado e copie novamente a carteira, ela continuará substituindo-a”. Beaumont relatou que o arquivo e seus URLs, domínios e endereços IP associados não retornaram nenhuma detecção no VirusTotal no momento. Max Maass publicou uma cópia capturada do roteiro em 27 de julho.
A amostra capturada contém dois blocos maliciosos anexados à biblioteca legítima. Suas strings de substituição são ofuscadas com uma chave XOR de seis bytes. O primeiro observa o evento copy, tenta ler a área de transferência a cada quatro segundos e substituir os endereços correspondentes.
Ele também tenta uma solicitação HTTP para 84.32.102[.]230:7744 no carregamento da página que inclui o nome do host e o caminho da página em que o visitante está.
O segundo bloco percorre os nós de texto do documento, reescreve valores em input, textarea e elementos editáveis de conteúdo e restaura a posição do cursor após uma reescrita. Ele conecta o configurador de valor aos elementos input e textarea, para que as gravações programáticas sejam reescritas em trânsito.
Ele também intercepta eventos de copiar, recortar, colar e inserir. Ambos os blocos contêm strings de substituição codificadas para padrões de endereço Bitcoin, Ethereum e Tron, e Beaumont disse que os endereços parecem variar.
A Adform afirma não ter encontrado nenhuma evidência de que o código transmitisse os endereços IP dos visitantes ou informações sobre os sites que eles visitaram. Acrescentou no seu aviso de incidente que “a análise técnica indica que tal transmissão pode ter sido possível”. A primeira solicitação de carga útil é criada para enviar um nome de host e caminho de página para o servidor externo; se chegou ao operador não é estabelecido pela amostra.
Ainda falta a maior parte do escopo: quantos sites carregavam o arquivo, quantos visitantes foram expostos, como os invasores chegaram ao caminho de implantação do Adform e se algum dinheiro foi desviado. A diferença de duração também impede uma estimativa de exposição defensável porque a declaração da Adform de 27 de julho sobre a data afetada e a observação mais longa de Beaumont permanecem inconciliáveis. O aviso público de incidente da Adform não lista indicadores de comprometimento.
O relatório anual de 2025 da Adform diz que a empresa tinha cerca de 1.800 clientes, permitiu a exibição diária de 1,5 bilhão de anúncios e veiculou ou transacionou anúncios em mais de 180 países durante 2025.
Esses números descrevem a plataforma, não este incidente. Um número mais útil é quantos carregamentos de páginas realmente receberam o recurso alterado, uma contagem que o Adform não publicou. Adform não identificou publicamente o invasor.
Adform detectou o incidente em 27 de julho de 2026, removeu o código malicioso, notificou os clientes afetados e relatou às autoridades.
Qualquer pessoa que visitou um site que continha o script afetado em 27 de julho e copiou um endereço Bitcoin, Ethereum ou Tron pode ter colado um endereço diferente inserido pelo código malicioso.
Adform está dizendo às pessoas para limparem o cache do navegador porque o arquivo alterado pode permanecer em cache após a correção e para verificar qualquer endereço de carteira antes de enviar fundos.
Adform diz que o código não foi projetado para instalar software ou estabelecer persistência e funcionou apenas enquanto a página afetada permanecia aberta. A amostra capturada também reescreve os endereços inseridos diretamente nos campos do formulário, portanto, a cópia da área de transferência não era o único caminho para a substituição.
A linha do tempo pública não está resolvida. O aviso da Adform identifica 27 de julho como a data afetada; Kevin Beaumont diz que viu atividades maliciosas via Adform na semana passada.
O recurso comprometido é trackpoint-async.js, servido por s2.adform[.]net. A documentação de implementação do Adform diz que o código de rastreamento pode ser executado em uma página, em várias seções ou incondicionalmente em um site inteiro. O comprometimento desse recurso compartilhado proporcionou aos invasores uma rota para sites downstream não relacionados, sem a necessidade de violar cada um deles separadamente. O caminho de implantação partilhado torna isto um compromisso da cadeia de abastecimento.
Enquanto a página afetada permanecesse aberta, um endereço alterado no ponto de pagamento poderia redirecionar uma transferência.
Beaumont, um pesquisador de segurança independente, divulgou o compromisso e escreveu: “Mesmo que você perceba que o endereço está errado e copie novamente a carteira, ela continuará substituindo-a”. Beaumont relatou que o arquivo e seus URLs, domínios e endereços IP associados não retornaram nenhuma detecção no VirusTotal no momento. Max Maass publicou uma cópia capturada do roteiro em 27 de julho.
A amostra capturada contém dois blocos maliciosos anexados à biblioteca legítima. Suas strings de substituição são ofuscadas com uma chave XOR de seis bytes. O primeiro observa o evento copy, tenta ler a área de transferência a cada quatro segundos e substituir os endereços correspondentes.
Ele também tenta uma solicitação HTTP para 84.32.102[.]230:7744 no carregamento da página que inclui o nome do host e o caminho da página em que o visitante está.
O segundo bloco percorre os nós de texto do documento, reescreve valores em input, textarea e elementos editáveis de conteúdo e restaura a posição do cursor após uma reescrita. Ele conecta o configurador de valor aos elementos input e textarea, para que as gravações programáticas sejam reescritas em trânsito.
Ele também intercepta eventos de copiar, recortar, colar e inserir. Ambos os blocos contêm strings de substituição codificadas para padrões de endereço Bitcoin, Ethereum e Tron, e Beaumont disse que os endereços parecem variar.
A Adform afirma não ter encontrado nenhuma evidência de que o código transmitisse os endereços IP dos visitantes ou informações sobre os sites que eles visitaram. Acrescentou no seu aviso de incidente que “a análise técnica indica que tal transmissão pode ter sido possível”. A primeira solicitação de carga útil é criada para enviar um nome de host e caminho de página para o servidor externo; se chegou ao operador não é estabelecido pela amostra.
Ainda falta a maior parte do escopo: quantos sites carregavam o arquivo, quantos visitantes foram expostos, como os invasores chegaram ao caminho de implantação do Adform e se algum dinheiro foi desviado. A diferença de duração também impede uma estimativa de exposição defensável porque a declaração da Adform de 27 de julho sobre a data afetada e a observação mais longa de Beaumont permanecem inconciliáveis. O aviso público de incidente da Adform não lista indicadores de comprometimento.
O relatório anual de 2025 da Adform diz que a empresa tinha cerca de 1.800 clientes, permitiu a exibição diária de 1,5 bilhão de anúncios e veiculou ou transacionou anúncios em mais de 180 países durante 2025.
Esses números descrevem a plataforma, não este incidente. Um número mais útil é quantos carregamentos de páginas realmente receberam o recurso alterado, uma contagem que o Adform não publicou. Adform não identificou publicamente o invasor.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #hackers #envenenam #script #adform #para #trocar #endereços #de #carteiras #criptografadas #em #sites #de #clientes
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário