Hackers roubam contas da Steam em novo ataque de phishing

Hackers estão usando uma nova técnica de phishing para roubar credenciais na Steam. O ataque “Browser-in-the-Browser” envolve a criação de janelas falsas de navegador dentro de uma página ativa. O usuário se torna vítima ao ser enganado e acreditar que se trata de um pop-up legítimo de login na plataforma.

Nesta terça-feira (13), o Group-IB publicou um relatório sobre o novo esquema envolvendo janelas falsas de navegador. Os ataques visam vender o acesso a essas contas, entre as quais algumas são avaliadas entre US$ 100.000 e US$ 300.000.

Phishing no navegador

A ataque começa a partir de uma mensagem direta com convite para o jogador participar de um torneio de jogos competitivos como League of Legends, CS:GO, Dota 2 ou PUBG.

Agente de ameaça envia mensagem com link malicioso de phishing – Imagem: Group-IB

Um link leva o usuário para um site com aparência profissional do que seria uma empresa de eSports que hospeda e patrocina campeonatos.

Página falsa de organização de campeonatos – Imagem: Group-IB

Ao clicar para fazer o cadastro, uma janela pop-up muito bem feita pede a inserção das credenciais de login na Steam. A janela é praticamente indistinguível da real, mas é falsa.

Pop-up falso de phishing pede credenciais da conta – Imagem: Group-IB

Depois de preencher nome de usuário e senha, a vítima é levada a um formulário do Steam Guard em funcionamento solicitando um código de autenticação em dois fatores (2FA), se ativado, aumentando assim a autenticidade do golpe.

Golpe pede inclusive segundo fator de autenticação – Imagem: Group-IB

Em golpes como este, os agentes de ameaças rapidamente sequestram as contas da Steam, alterando senhas e endereços de e-mail para dificultar que as vítimas recuperem o controle de suas contas.

Como se proteger

A técnica da janela falsa no navegador requer JavaScript, assim, especialistas dizer que bloquear scripts JS de forma impediria que o pop-up falso de login fosse exibido. Mas, claro, a maioria das pessoas não bloqueia scripts, já que isso quebraria muitos sites populares.

A melhor dica é mesmo ter cuidado e atenção a mensagens recebidas na Steam, Discord ou outras plataformas relacionadas a jogos e sempre duvidar de links enviados por usuários desconhecidos.

Esta não é a primeira vez que a técnica de phishing é identificada. No início do ano, outros ataques criavam formulários falsos de login para grandes serviços como Google e Microsoft.

Via: Bleeping Computer