Ladrão de Torg

O Torg é um malware altamente perigoso para roubo de informações, projetado para extrair dados confidenciais de sistemas infectados e transmiti-los a cibercriminosos por meio de uma infraestrutura baseada em API. Ele é distribuído sob o modelo de Malware como Serviço (MaaS), o que o torna acessível a uma ampla gama de agentes maliciosos. Uma vez detectado em um dispositivo, a remoção imediata é crucial para evitar maiores comprometimentos de dados.

Ampla capacidade de segmentação por navegador

Uma das principais vantagens do Torg reside na sua capacidade de comprometer uma ampla variedade de navegadores web. Ele tem como alvo específico navegadores baseados no Chromium, como Chrome, Edge, Brave e Opera, bem como navegadores baseados no Firefox. No total, ele consegue extrair dados de dezenas de navegadores.

O malware é capaz de acessar credenciais de login armazenadas, incluindo senhas salvas e cookies. Ele também foi projetado para burlar ou descriptografar os mecanismos de segurança do navegador criados para proteger essas informações, tornando até mesmo dados protegidos vulneráveis a roubo.

Exploração de extensões de navegador e complementos sensíveis

O Torg expande significativamente seu alcance ao visar extensões de navegador. Ele é capaz de extrair dados de mais de 800 extensões, muitas das quais associadas a carteiras de criptomoedas, incluindo opções amplamente utilizadas como MetaMask e Phantom. Além disso, ele visa mais de 100 extensões relacionadas à segurança, incluindo gerenciadores de senhas e ferramentas de autenticação de dois fatores.

Além de ferramentas financeiras, o malware também coleta informações de diversas extensões de aplicativos de anotações. Essas extensões geralmente armazenam dados sensíveis do usuário, como senhas, anotações pessoais e outras informações confidenciais, tornando-as alvos valiosos para os atacantes.

Roubo em larga escala de carteiras de criptomoedas

O Torg representa uma grave ameaça para os usuários de criptomoedas, visando tanto aplicativos de carteira baseados em navegador quanto aplicativos para desktop. Ele consegue extrair dados confidenciais de mais de 30 programas de carteira para desktop, incluindo Atomic, AtomicDEX, Bitcoin Core, Daedalus, Electrum, Ethereum, Exodus, Monero, MyEtherWallet e WalletWasabi.

O malware é capaz de roubar informações altamente sensíveis, como frases de recuperação de carteiras, chaves privadas e dados de sessão. Esse nível de acesso pode permitir que os invasores assumam o controle total dos ativos de criptomoedas.

Dados direcionados para comunicação, jogos e sistemas

O Torg amplia suas capacidades de roubo de dados para uma ampla gama de aplicativos e serviços. Ele consegue extrair tokens do Discord escaneando bancos de dados LevelDB, permitindo acesso não autorizado a contas sem a necessidade de credenciais de login. Também captura dados de sessão do Telegram, potencialmente concedendo acesso a sessões de usuários ativos, e rouba arquivos de configuração do Steam que podem ser usados para sequestrar ou se passar por contas de jogos.

Outros alvos incluem:

• Clientes VPN (ExpressVPN, NordVPN, OpenVPN, PIA, ProtonVPN, Surfshark, WireGuard, Windscribe), ferramentas de FTP e acesso remoto (FileZilla, mRemoteNG, MobaXterm, Total Commander, WinSCP) e clientes de e-mail como Outlook e Thunderbird.
• Plataformas de jogos (Battle.net, GOG Galaxy, Minecraft, Origin/EA, Rockstar Games, Ubisoft Connect), juntamente com arquivos confidenciais armazenados nas pastas Área de Trabalho e Documentos.
• O impacto: graves riscos financeiros e de privacidade

O Torg opera silenciosamente em segundo plano, coletando uma ampla gama de informações confidenciais sem o conhecimento do usuário. Isso inclui credenciais de login, dados financeiros, arquivos pessoais e tokens de acesso à conta.

Devido ao seu amplo alcance, as infecções podem resultar em consequências graves, como roubo de identidade, apropriação de contas, perdas financeiras e violações de privacidade a longo prazo. Sua capacidade de comprometer múltiplas plataformas simultaneamente o torna particularmente destrutivo.

Como Torg infecta sistemas

O processo de infecção geralmente começa quando os usuários baixam e executam arquivos maliciosos disfarçados de conteúdo legítimo. Estes frequentemente incluem softwares pirateados, aplicativos crackeados, instaladores falsos ou cheats para jogos. A carga inicial, conhecida como dropper, instala secretamente componentes maliciosos adicionais no sistema.

A cadeia de ataque envolve várias etapas sofisticadas:

• O dropper implanta malware oculto usando técnicas de ofuscação e criptografia para evitar a detecção.
• O código malicioso pode ser executado diretamente na memória, evitando a detecção baseada em disco.
• Um carregador prepara o sistema ocultando processos ou injetando código em processos legítimos do Windows.

Finalmente, o programa Torg é executado na memória, iniciando suas atividades de exfiltração de dados.

ClickFix e outros métodos de distribuição enganosos

Além dos vetores de infecção tradicionais, o Torg também se espalha por meio de uma técnica conhecida como ClickFix. Esse método manipula os usuários para que copiem e executem comandos maliciosos, muitas vezes disfarçados de instruções legítimas. Esses comandos são geralmente scripts do PowerShell que, uma vez executados, iniciam o processo de infecção e baixam o malware automaticamente.

Combinando táticas de engenharia social e ofuscação técnica, esses métodos de distribuição tornam o Torg uma ameaça altamente eficaz e perigosa, que exige atenção e remoção imediatas caso seja detectado.