Hola Browser para Windows comprometido para distribuir minerador de Monero

O Hola Browser para Windows foi comprometido em um ataque clássico de supply chain: o executável me.exe, não assinado e sem carimbo de data/hora, foi injetado no processo de build e distribuição. Ele se instala como HolaMonitorService.exe, registra-se como serviço do Windows (hola_monitor_svc) e só ativa a mineração de Monero quando a máquina está ociosa, uma tática deliberada para evitar consumo visível de CPU e detecção por usuários ou EDRs. O malware usa XMRig modificado, adiciona exclusão no Windows Defender e comunica com C2 via HTTP, enquadrando-se nas técnicas MITRE T1071.001 e T1543.003.

A Hola reconstruiu seu pipeline do zero, implementou verificação obrigatória de assinatura de código e contratou a Sygnia para auditoria forense. Isso não é isolado: o Sonatype relatou 454.600 novos pacotes maliciosos em 2025, 75% a mais que em 2024, e 99% deles estão no npm. O custo médio de uma violação de cadeia de suprimentos agora é de US$ 4,91 milhões, com tempo médio de detecção de 267 dias.

Em comparação com os ataques anteriores cobertos pela CEVIU, como o do Checkmarx KICS (6/3) e o dos pacotes Laravel-Lang (5/27) , , este do Hola Browser representa uma evolução na sofisticação operacional: não há engenharia social nem typosquatting, mas uma infiltração direta no pipeline de construção e assinatura de binários para Windows. Enquanto os casos anteriores exploravam repositórios públicos ou extensões, o Hola mostra que até softwares com certificação AppEsteem podem ser comprometidos no momento exato da geração do instalador final, um salto de risco para fornecedores que dependem de processos automatizados sem verificação criptográfica de cada etapa.

Esse caso expõe uma falha estrutural em como empresas validam confiança: o Hola tinha certificação Windows Certified Application, mas não protegia sua infraestrutura de build contra injeção de artefatos não assinados. Para equipes de segurança, isso significa que verificar apenas o hash do instalador ou a presença de assinatura digital *no final* não basta, é preciso auditar o pipeline inteiro, desde o CI/CD até o signing server. Além disso, o uso de XMRig com ativação por ociosidade reforça que cryptojacking deixou de ser um 'ataque barato' e virou uma ameaça persistente, rentável e difícil de detectar em ambientes corporativos com políticas frouxas de controle de serviços e exclusões no AV.