{"id":25147,"date":"2026-07-02T09:00:44","date_gmt":"2026-07-02T12:00:44","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=25147"},"modified":"2026-06-29T13:50:29","modified_gmt":"2026-06-29T16:50:29","slug":"hola-browser-supply-chain-attack-cryptominer","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/hola-browser-supply-chain-attack-cryptominer\/25147\/","title":{"rendered":"Hackers sequestram o navegador Hola visando a minera\u00e7\u00e3o secreta de criptomoedas"},"content":{"rendered":"

No in\u00edcio de junho, pesquisadores de seguran\u00e7a cibern\u00e9tica descobriram que uma vers\u00e3o do navegador Hola para Windows, desenvolvido em Israel (1.251.91.0), baixava<\/a> um minerador da criptomoeda Monero nos dispositivos dos usu\u00e1rios sem que eles soubessem. Logo ap\u00f3s a descoberta, a Hola confirmou que havia sido v\u00edtima de um ataque \u00e0 cadeia de suprimentos. Neste artigo, contamos como o ataque ocorreu, como funciona o minerador e o que isso significa para os usu\u00e1rios afetados.<\/p>\n

O que \u00e9 o navegador Hola e como o malware foi descoberto?<\/h2>\n

A empresa israelense Hola \u00e9 mais conhecida por sua VPN, usada por usu\u00e1rios para contornar restri\u00e7\u00f5es geogr\u00e1ficas e acessar conte\u00fado bloqueado em determinadas regi\u00f5es. Al\u00e9m da VPN, a empresa desenvolveu o navegador Hola, que \u00e9 baseado em Chromium e traz uma VPN integrada, al\u00e9m de recursos de proxy.<\/p>\n

Os primeiros sinais de problemas foram detectados pelos pesquisadores durante uma verifica\u00e7\u00e3o de conformidade padr\u00e3o para o programa AppEsteem Windows Certified Application<\/a>. Como parte da certifica\u00e7\u00e3o, empresas independentes de seguran\u00e7a cibern\u00e9tica auditam os softwares para garantir que contenham apenas os componentes declarados, sem recursos indesejados ou maliciosos. Mesmo ap\u00f3s receberem um certificado, os aplicativos s\u00e3o reavaliados regularmente para garantir que continuem atendendo \u00e0s r\u00edgidas diretrizes da AppEsteem.<\/p>\n

Foi durante uma verifica\u00e7\u00e3o de acompanhamento de rotina que os especialistas notaram um arquivo n\u00e3o autorizado agrupado \u00e0 vers\u00e3o 1.251.91.0<\/em><\/strong> do navegador Hola para Windows. Ap\u00f3s a instala\u00e7\u00e3o, o arquivo era salvo automaticamente no disco r\u00edgido em C:\\Program Files\\Hola\\me{.}exe<\/em><\/strong>. Os pesquisadores logo consideraram o arquivo n\u00e3o confi\u00e1vel por v\u00e1rios ind\u00edcios suspeitos: ele n\u00e3o constava na lista de arquivos de aplicativos aprovados, n\u00e3o tinha carimbo de data\/hora nem assinatura digital. Al\u00e9m disso, o c\u00f3digo estava bastante ofuscado, sendo capaz de se injetar diretamente na mem\u00f3ria do sistema.<\/p>\n

Por\u00e9m, os pesquisadores notaram que o arquivo n\u00e3o estava presente em todas as instala\u00e7\u00f5es. Como a infec\u00e7\u00e3o n\u00e3o atingiu todos os usu\u00e1rios, os especialistas logo suspeitaram que uma etapa espec\u00edfica do pipeline de distribui\u00e7\u00e3o do navegador Hola havia sido comprometida. A Hola acabou confirmando essa teoria, admitindo que foi v\u00edtima de um ataque \u00e0 cadeia de suprimentos.<\/p>\n

Quanto ao pr\u00f3prio arquivo me{.}exe<\/em><\/strong> suspeito, uma an\u00e1lise mais detalhada revelou que se tratava de um minerador de criptomoedas furtivo configurado para minerar Monero. Vamos agora analisar os detalhes t\u00e9cnicos de como tudo aconteceu.<\/p>\n

Como os invasores usaram o navegador Hola para minerar o Monero?<\/h2>\n

Os mineradores de criptomoedas s\u00e3o programas que aproveitam o poder de processamento de um computador para minerar criptomoedas. Embora alguns usu\u00e1rios instalem esses softwares voluntariamente, mineradores executados em uma m\u00e1quina sem o conhecimento do propriet\u00e1rio s\u00e3o considerados indesejados.<\/p>\n

A execu\u00e7\u00e3o de um minerador oculto pode deixar um dispositivo muito mais lento, aumentar a conta de eletricidade do usu\u00e1rio e reduzir a vida \u00fatil do hardware. Dito isto, vale notar que a infec\u00e7\u00e3o de um dispositivo por um minerador n\u00e3o significa que as criptomoedas do propriet\u00e1rio ser\u00e3o roubadas; o dano limita-se ao consumo dos recursos de hardware, utilizados pelos invasores para obter ganho financeiro.<\/p>\n

Conforme mencionado acima, o download malicioso inclu\u00eddo no navegador Hola inseriu um minerador da criptomoeda Monero<\/a> nos dispositivos das v\u00edtimas. Lan\u00e7ado em 2014 e baseado no protocolo CryptoNote, o Monero atualmente \u00e9 negociado a cerca de US$ 330 por unidade.<\/a><\/p>\n

Comparado a moedas mais conhecidas, como Bitcoin ou Ethereum, o Monero \u00e9 mais ex\u00f3tico e menos conhecido pelo p\u00fablico geral. Esse status de nicho reflete-se no aumento relativamente modesto do seu pre\u00e7o e em uma menor capitaliza\u00e7\u00e3o de mercado, sendo quase 200 vezes menor que a do Bitcoin. No entanto, o Monero tem um benef\u00edcio que o destaca: a privacidade. Enquanto o Bitcoin e o Ethereum operam em blockchains p\u00fablicas e transparentes, onde qualquer pessoa pode rastrear as transa\u00e7\u00f5es, o Monero \u00e9 uma \u201cmoeda de privacidade\u201d. Ele usa mecanismos criptogr\u00e1ficos avan\u00e7ados para ocultar o remetente, o destinat\u00e1rio e o valor da transa\u00e7\u00e3o. Esse anonimato extremo \u00e9 exatamente o motivo pelo qual os hackers preferem os mineradores ocultos de Monero<\/a>, pois eles dificultam o rastreamento das transa\u00e7\u00f5es por autoridades e profissionais de seguran\u00e7a cibern\u00e9tica.<\/p>\n

Al\u00e9m disso, o algoritmo do Monero foi projetado para usar CPUs padr\u00e3o de forma eficiente na minera\u00e7\u00e3o. Isso contrasta fortemente com muitas outras criptomoedas populares, que exigem hardware ASIC especializado ou GPUs de ponta para gerar lucro.<\/p>\n

Mas vamos analisar melhor o caso do navegador Hola. Ao analisar o c\u00f3digo me{.}exe<\/em><\/strong> malicioso, os pesquisadores descobriram que ele estava adicionando automaticamente seus pr\u00f3prios arquivos \u00e0 lista de exclus\u00e3o do Microsoft Defender. Ao entrar na lista de permiss\u00f5es, o malware contornou o antiv\u00edrus do Windows, permitindo a execu\u00e7\u00e3o do minerador de criptomoedas em segundo plano sem qualquer impedimento.<\/p>\n

Ent\u00e3o, o programa fez uma c\u00f3pia de si mesmo sob o nome HolaMonitorService{.}exe<\/em><\/strong> e configurou um servi\u00e7o persistente do Windows em segundo plano chamado hola_monitor_svc<\/em><\/strong>. Essa manobra permitiu que o malware se instalasse no sistema, sendo iniciado automaticamente sempre que o computador era reiniciado. Para evitar suspeitas por quedas de desempenho, o minerador permanecia inativo e era acionado apenas quando o computador estava ocioso.<\/p>\n

Como proteger seu dispositivo contra mineradores de criptomoedas e malware<\/h2>\n

Felizmente, a equipe de desenvolvedores da Hola agiu r\u00e1pido ap\u00f3s a detec\u00e7\u00e3o do arquivo suspeito. Eles confirmaram a viola\u00e7\u00e3o da cadeia de suprimentos, mas afirmaram que apenas 0,1% dos usu\u00e1rios foram afetados. Desde ent\u00e3o, a empresa refor\u00e7ou a seguran\u00e7a em torno do pipeline de distribui\u00e7\u00e3o de atualiza\u00e7\u00f5es para garantir que os usu\u00e1rios recebam apenas componentes de software aprovados, certificados e contendo assinatura digital no futuro.<\/p>\n

Devido a esse incidente, recomendamos que todos os usu\u00e1rios do navegador Hola o atualizem para a vers\u00e3o mais recente, especialmente aqueles que executam o aplicativo no Windows.<\/p>\n

Essa situa\u00e7\u00e3o \u00e9 um exemplo cl\u00e1ssico de por que \u00e9 t\u00e3o importante manter todos softwares atualizados e executar uma Home Security<\/a> solu\u00e7\u00e3o robusta de seguran\u00e7a cibern\u00e9tica em todos os seus gadgets. Por exemplo, o Kaspersky Premium<\/a> fornece alertas em tempo real sobre comportamento suspeito de software e faz o bloqueio instant\u00e2neo de amea\u00e7as. Como um b\u00f4nus adicional, a assinatura do Kaspersky Premium<\/a> inclui uma VPN segura e confi\u00e1vel<\/a>.<\/p>\n

Lembre-se de que mineradores maliciosos de criptomoedas tamb\u00e9m atacam smartphones, disfar\u00e7ando-se muitas vezes de jogos populares e at\u00e9 de aplicativos oficiais de servi\u00e7os governamentais. Confira nossas postagens anteriores para saber mais:<\/p>\n