Uma nova campanha de ciberataques, conhecida como SocGholish ou FakeUpdates, tem enganado usuários com atualizações falsas de software para roubar informações sensíveis de empresas.
O golpe se baseia em um modelo de malware-as-a-service (MaaS), onde criminosos alugam infraestrutura maliciosa para espalhar arquivos infectados através de sites legítimos comprometidos.
Descoberto pela LevelBlue, o SocGholish está ativo desde 2017, sob gerenciamento do grupo TA 569. No início de 2025, a plataforma foi usada para distribuir o ransomware RansomHub, afetando o setor de saúde nos EUA, incluindo Change Healthcare e a rede de farmácias Rite Aid.
Como funciona o ataque
Os criminosos comprometem sites legítimos, muitas vezes WordPress, e injetam scripts maliciosos. Também podem usar Domain Shadowing, criando subdomínios falsos em sites confiáveis.
Ferramentas como Keitaro e Parrot TDS analisam cada visitante: localização, sistema operacional e navegador. Apenas usuários que se encaixam no perfil da vítima ideal recebem o payload malicioso.
SocGholish: a “Netflix do crime digital”
O SocGholish não é exclusivo do TA 569. Ele funciona como malware como serviço, permitindo que qualquer criminoso alugue a infraestrutura para distribuir ransomware, trojans e programas de roubo de dados.
Entre os clientes mais conhecidos está o grupo russo Evil Corp, com conexões à GRU, agência de inteligência militar da Rússia. Entre os malwares distribuídos estão LockBit, RansomHub, AsyncRAT e Raspberry Robin.
O ataque é altamente adaptável e escalável, transformando milhares de sites confiáveis em vetores de infecção simultâneos. Um exemplo de engenharia social ocorreu com anúncios falsos do Google, enganando usuários para acessar portais de RH da Kaiser Permanente, levando à infecção.
Como se proteger do SocGholish
-
Não baixe atualizações via pop-ups: use apenas mecanismos oficiais do navegador.
-
Verifique atualizações manualmente: acesse as configurações do programa para confirmar novidades.
-
Mantenha WordPress atualizado: sempre atualize plugins e o núcleo do sistema.
-
Use autenticação forte: senhas seguras e autenticação de dois fatores para contas de administrador.
-
Desconfie de urgência artificial: sites legítimos raramente exigem atualizações imediatas para funcionar.
A campanha SocGholish mostra como cibercriminosos combinam sofisticação, escala e engenharia social para atacar empresas globalmente.
