Investigadores de segurança identificaram uma campanha de fraude publicitária que abusou de extensões de navegador aparentemente legítimas para injetar código malicioso, sequestrar ligações de afiliados e cometer fraude de cliques e de anúncios. Segundo a empresa Koi Security, que baptizou a operação de GhostPoster, os complementos afetados foram descarregados coletivamente mais de 50 mil vezes antes de serem removidos, o que ajuda a explicar por que motivo a imprensa se referiu a dezenas de milhares de vítimas potenciais. O caso volta a demonstrar que a ameaça já não vive apenas em sites obscuros: instala-se no próprio navegador, através de ferramentas que os utilizadores adicionam de livre vontade.
Resposta rápida: Uma campanha designada GhostPoster escondeu código malicioso em ficheiros de logótipo de extensões do Firefox, transformando VPNs, bloqueadores de anúncios e utilitários de captura de ecrã em ferramentas de fraude publicitária e desvio de comissões de afiliados. Os complementos, já removidos, somavam mais de 50 mil transferências. Reveja as extensões instaladas, remova as que não reconhece e instale apenas complementos de fontes oficiais e reputadas.
O que os investigadores descobriram
De acordo com a Koi Security, a campanha GhostPoster aproveitou ficheiros de logótipo associados a 17 extensões do Firefox para embeber código JavaScript malicioso concebido para sequestrar ligações de afiliados, injetar código de rastreio e cometer fraude de cliques e de anúncios. A técnica é particularmente insidiosa porque esconde a carga maliciosa dentro de recursos que passariam por inofensivos numa análise superficial, como imagens de marca.
O alcance não foi trivial. As extensões foram descarregadas, no conjunto, mais de 50 mil vezes, embora, à data da divulgação, já não estivessem disponíveis. Quanto ao disfarce, estes programas de navegador eram anunciados como VPNs, utilitários de captura de ecrã, bloqueadores de anúncios e versões não oficiais do Google Translate — categorias populares que geram descarregamentos com facilidade. A mais antiga, chamada Dark Mode, foi publicada a 25 de outubro de 2024 e prometia ativar um tema escuro em todos os sites.
Como funciona a fraude publicitária no navegador
Ao contrário do malware clássico que rouba palavras-passe, este tipo de operação foca-se em monetização silenciosa. O sequestro de ligações de afiliados (affiliate hijacking) consiste em reescrever, em segundo plano, os cliques do utilizador de modo a atribuir a compra ou a visita a um parceiro controlado pelos atacantes, desviando comissões que deveriam ir para o comerciante legítimo. Investigadores da c/side documentaram padrões semelhantes noutras campanhas, explicando que scripts injetados reescrevem ligações e encaminham cliques para destinos de afiliados controlados pelos atacantes.
A este mecanismo somam-se a injeção de código de rastreio e a fraude de cliques, que geram receita fictícia à custa de anunciantes e de redes publicitárias. Como o código corre dentro do navegador do utilizador — com as suas credenciais, os seus cookies e o seu endereço IP legítimo — a atividade é difícil de distinguir de tráfego humano genuíno, o que reduz a eficácia das defesas baseadas em reputação de domínios.
Não é um caso isolado: o padrão do lado do cliente
A GhostPoster insere-se numa tendência mais ampla de ataques do lado do cliente. No início de 2025, a c/side reportou uma campanha de injeção de JavaScript que sequestrava a janela do navegador. Em fevereiro de 2025 observou-se um agente de ameaça a atacar mais de 35 mil sites com uma injeção maliciosa de sequestro de página inteira; em março de 2025, a campanha tinha expandido para uma estimativa de 150 mil sites, usando novas táticas e técnicas. Nessa operação, assim que o script carregava, sequestrava por completo a janela do navegador do utilizador, redirecionando-o para páginas que promoviam uma plataforma de jogo (ou casino) em língua chinesa.
Também redes publicitárias e ferramentas de análise têm sido abusadas. A c/side descreveu, por exemplo, uma extensão maliciosa que se fazia passar pelo Microsoft Clarity e sobrescrevia dados de referência para reivindicar comissões de forma fraudulenta, tendo partilhado a informação com a Microsoft para permitir a remoção do domínio. O denominador comum destas campanhas é a discrição: entregam a carga apenas a alvos reais e escondem-se de investigadores e de plataformas de análise automática.
Cronologia e indicadores conhecidos
| Data | Acontecimento |
|---|---|
| 25 out. 2024 | Publicação da extensão mais antiga da campanha GhostPoster (Dark Mode) |
| Fev. 2025 | c/side observa injeção de sequestro de página inteira em mais de 35 mil sites |
| Mar. 2025 | A mesma campanha de injeção expande-se para uma estimativa de 150 mil sites |
| Jul. 2026 | Divulgação pública da GhostPoster; extensões (50 mil+ transferências) já removidas |
Nota de prudência: as fontes públicas não confirmam uma lista fechada de identificadores das 17 extensões da GhostPoster no momento da escrita. Para a campanha de injeção documentada pela c/side, os investigadores recomendaram vigiar e bloquear domínios como zuizhongjs[.]com e p11vt3[.]vip e subdomínios associados. Quaisquer indicadores devem ser confirmados no aviso original do investigador antes de serem aplicados em regras de bloqueio.
Como se proteger
- Reveja as extensões instaladas no navegador e remova todas as que não reconhece ou já não usa; desconfie de VPNs, bloqueadores e “traduções” gratuitas de origem duvidosa.
- Instale complementos apenas a partir de lojas oficiais e verifique o programador, as avaliações e as permissões pedidas antes de aceitar.
- Mantenha o navegador e as extensões atualizados e ative a atualização automática.
- Em organizações, aplique políticas de gestão de extensões (listas de permissões), filtragem de DNS/web e monitorização de pedidos de saída para domínios suspeitos.
- Descarregue software (carteiras, ferramentas de trading, utilitários) sempre do site oficial do fabricante, nunca a partir de um anúncio ou de um resultado patrocinado.
Porque é que isto importa em Portugal
Embora a fraude publicitária pareça atingir sobretudo anunciantes e redes de publicidade, as consequências chegam a cidadãos e a empresas. Extensões maliciosas com acesso amplo podem observar navegação, injetar conteúdos e, em variantes mais agressivas, servir de porta de entrada para roubo de credenciais. Para uma PME, um posto de trabalho com um complemento comprometido pode significar exposição de sessões e dados de clientes.
Quando há tratamento de dados pessoais em causa, aplica-se o RGPD, que obriga a medidas técnicas e organizativas adequadas e à notificação de violações de dados nos prazos legais. No plano da resiliência organizacional, o novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) reforça a exigência de gestão de risco e de segurança da cadeia de fornecimento, o que inclui o software do lado do cliente. O CNCS e o CERT.PT são os pontos de contacto nacionais para apoio e reporte de incidentes, e recomendam boas práticas de higiene digital como as descritas acima.
Perguntas frequentes
O que é a campanha GhostPoster?
É uma operação de fraude publicitária, descrita pela Koi Security, que escondeu código JavaScript malicioso em ficheiros de logótipo de 17 extensões do Firefox para sequestrar ligações de afiliados, injetar rastreio e cometer fraude de cliques e de anúncios. As extensões, disfarçadas de VPNs, bloqueadores e utilitários, foram descarregadas mais de 50 mil vezes antes de serem removidas.
Como sei se tenho uma extensão maliciosa?
Abra o gestor de extensões do navegador e verifique cada complemento: programador, avaliações, permissões e data de instalação. Sinais de alerta incluem redirecionamentos inesperados, anúncios ou separadores que abrem sozinhos e complementos que não se lembra de ter instalado. Na dúvida, remova e reinstale apenas a partir de fontes oficiais.
Este ataque rouba palavras-passe?
O objetivo central descrito é fraude publicitária e desvio de comissões, não necessariamente roubo direto de credenciais. Ainda assim, uma extensão com permissões amplas pode observar a navegação e injetar conteúdos, pelo que convém tratar qualquer complemento suspeito como um risco de segurança e remover imediatamente.
O que devem fazer as empresas?
Aplicar políticas de gestão de extensões com listas de permissões, filtragem de DNS/web, monitorização de pedidos de saída e formação de utilizadores. Descarregar software apenas de fontes oficiais e integrar o risco de complementos e de cadeia de fornecimento na gestão de risco exigida pelo Regime Jurídico da Cibersegurança.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por investigadores de segurança (Koi Security e c/side) e por fontes técnicas de referência.