Pessoa de sexo não identificado, com cabelo roxo e pele azul, segurando uma xícara de café com vários ícones em alusão ao Manual do Usuário na fumaça e um celular na outra mão. Embaixo, o texto: “Apoie o Manual pelo preço de um cafezinho”.

olav.ooo tem um minerador de criptomoedas escondido

O site olav.ooo, uma piada macabra envolvendo a morte do charlatão bolsonarista Olavo de Carvalho e o joguinho de palavras Wordle/Termo, ainda hoje aparece em redes sociais. Ele não é, afinal, um joguinho inocente. Ao abrir o site, um minerador de criptomoedas dispara imediatamente. O alerta foi dado por Eduardo Henrique e confirmado pelo Manual do Usuário.

O olav.ooo carrega um script XMRig, uma solução de código aberto que usa o poder computacional dos dispositivos que acessam sites com seu código para minerar a criptomoeda Monero (XMR). Por padrão, bloqueadores de anúncios como 1Blocker e uBlock Origin não bloqueiam o script, nem as configurações mais rigorosas do Firefox e Safari.

Ao abrir o olav.ooo, o disparo no consumo de processamento é imediato:

Print do terminal com o htop aberto, filtrando processos do Firefox.
Repare no consumo de processamento pelo Firefox enquanto o site olav.ooo está aberto. Imagem: Manual do Usuário.

Ao bloquear o carregamento do script f.xmrminingproxy.com, a mineração não acontece.

O problema de acessar um site com um minerador de criptomoedas é que ele sobrecarrega o processador, deixando outras abas e aplicativos lentos e, no caso de dispositivos movidos à bateria, como celulares e notebooks, descarregando-a mais rapidamente.

O ecossistema de NFTs é um completo desastre

Para quem lê este Manual do Usuário não há nada novo no artigo de Edward Ongweso Jr., na Vice, a respeito do “completo desastre” que é o ecossistema de NFTs, mas vale pescar alguns eventos recentes que explicitam esse desastre. Dois trechos de lá me chamaram a atenção:

Tomemos a OpenSea, o marketplace de NFTs mais popular. Semana passada, a OpenSea limitou o número de vezes que os usuários poderiam cunhar NFTs gratuitamente em sua plataforma, porque mais de 80% dos que foram criados com a ferramenta “eram obras plagiadas, colecções falsas e spam”. Ela reverteu a decisão em 24 horas, porém, graças à choradeira de criadores de projetos NFT.

Do outro lado do balcão, artistas têm sofrido com a apropriação indevida e ilegal de seus trabalhos para a criação de coleções de NFTs:

Para os artistas do DeviantArt, que hospeda mais de 500 milhões de peças de arte digital, o problema ficou tão grave que a plataforma implementou um sistema de alerta de fraudes que procura por NFTs de cópias de obras na blockchain Ethereum. O DeviantArt emitiu 80 mil alertas desde agosto de 2021, duplicou esse número entre outubro e novembro, e viu um novo aumento de 300% entre novembro e meados de dezembro.

Lei com penas mais duras contra crimes cibernéticos é sancionada

Foi sancionada a Lei 14.155/2021, que altera dispositivos do Código Penal a fim de endurecer as penas para crimes cibernéticos no Brasil que envolvam a invasão não autorizada a sistemas digitais, numa resposta à incidência crescente de golpes envolvendo aplicativos de mensagens, como o WhatsApp. Via Agência Brasil.

Ronaldo Lemos, em sua análise da nova lei: “Com os agravantes, a pena final por roubo digital pode se tornar similar à punição de crimes contra a vida.” Via Folha de S.Paulo (com paywall).

Descoberto esquema gigantesco de reviews falsos na Amazon

O grupo de segurança digital Safety Detectives descobriu um esquema gigantesco de reviews falsos na Amazon perpetrado pelas próprias fabricantes. Eles encontraram um banco de dados de 7 GB na China exposto publicamente (por erros de permissão). Dentro dele, havia mais de 13 milhões de registros, cerca de 200 mil endereços de e-mail, supostamente de pessoas envolvidas do esquema, e os nomes das empresas participantes.

Essas pessoas compravam um produto na Amazon e, em seguida, escreviam um review elogioso, de cinco estrelas. Depois, elas enviavam uma mensagem à fabricante do produto com um link do review e eram reembolsadas por elas, via PayPal, no valor gasto na compra. Em outras palavras, trocavam um review positivo pelo produto em si.

Após a divulgação do esquema, os produtos de algumas marcas chinesas populares na Amazon e que constavam no banco de dados, como Aukey, MPow e Tacklife, sumiram do site da Amazon. Nenhuma dessas empresas se manifestou oficialmente sobre o ocorrido. Via Safety Detectives (em inglês), Xataka (em espanhol).

Mercado Livre não tem culpa por vendedor que caiu em golpe

O Tribunal de Justiça de São Paulo isentou o Mercado Livre de culpa em um caso em que o vendedor foi vítima de um golpe a partir de um anúncio publicado em seu marketplace. A relatora do caso, desembargadora Maria Lúcia Pizzotti, escreveu que “a transação tem altos índices de segurança, pois o pagamento, já feito, só será liberado com a confirmação pelo comprador da idoneidade do produto. É uma via de mão dupla que, contudo, não foi observada pelo autor, que sequer checou se houve pagamento antes de enviar o produto”. Via Migalhas.

Escrevi sobre esse tipo de golpe em fevereiro de 2018, quando quase me tornei vítima também. Até hoje, é um dos posts mais acessados do site e o espaço para comentários está repleto de história similares de gente que caiu no golpe.

Golpe da clonagem de WhatsApp está mais sofisticado

Aquele golpe da clonagem do WhatsApp mudou. Se antes os criminosos se apropriavam do número do celular da vítima para se passarem por ela e extorquir terceiros, agora nem isso: eles estão simplesmente criando novas contas no WhatsApp se passando pela vítima e, com o apoio de bancos de dados pessoais, entram em contato com pessoas próximas a ela com a desculpa de que “trocou de número” para pedir transferências de dinheiro.

A mudança de estratégia tem outra vantagem ao criminoso, que é não alertar a vítima. No esquema antigo, quando o número do celular passava do seu celular ao do criminoso, telefone e internet móvel deixavam de funcionar no celular original. No novo (que, semanticamente, está mais próximo de uma “clonagem”), a vítima não fica sabendo até ser tarde demais, afinal seu número não é usado no golpe.

O novo esquema já foi alvo de duas operações da Polícia Civil de Goiás, em setembro e outubro. A Kaspersky, que deu o alerta, orienta: “Caso você receba alguma mensagem, sempre desconfie. Entre em contato com a pessoa que está pedindo dinheiro por telefone (ligação). Além de confirmar a autentificada da mensagem, você ainda alerta a pessoa sobre o golpe”.

Compre dos parceiros do Manual:

Manual do Usuário