Malware na máquina de mídia: cookie, extensão e o laptop do plantão

O laptop do plantão instala um “otimizador de criativo”, um crack do editor, uma extensão que promete puxar preview do anúncio. Na segunda o coordenador vê campanha nova que ninguém publicou. O reflexo é “alguém vazou a senha no grupo”. Às vezes vazou. Muitas vezes o disco é que entregou o cookie. Malware em máquina de mídia não precisa da senha. Precisa da sessão.

Este texto é higiene de máquina para quem opera conta de anunciante. Não é aula de forense. Não é lista de exploits. É o que a agência precisa tratar como incidente antes de culpar o fingerprint: cookie roubado, extensão que lê storage, notebook de casa no fim de semana, e o limite claro do isolamento de perfil.

A máquina de mídia é um cofre mal rotulado

O mesmo notebook abre BM, MCC, Seller, banco do cliente, Drive com criativo, WhatsApp Web do grupo de senha. O time chama isso de produtividade. O infostealer chama isso de colheita. Um único processo com permissão de ler o perfil do browser leva mais do que um phishing de uma conta.

Há três objetos que importam. Senha salva. Cookie de sessão. Arquivo de export. A senha o time ainda discute. O cookie quase ninguém inventaria. O export “para o plantão” mora numa pasta Downloads com nome de cliente. Qualquer um dos três basta para entrar como se o gestor tivesse logado.

A mesa de tráfego pago aumenta o valor do disco. Não é o Instagram pessoal. É cartão, público, pixel, acesso de admin. O atacante que vende acesso a BM não precisa vencer a plataforma. Precisa vencer o hábito de instalar o que o YouTube recomendou às onze da noite.

Chrome da casa, perfil único, vinte abas, extensão da família, sincronização com a conta Google pessoal: isso não é ambiente de produção. É a sala de estar com a chave da loja em cima da mesa. Isolar identidade no browser ajuda quando o browser está íntegro. Disco comprometido lê o perfil isolado do mesmo jeito que lê o perfil bagunçado. A diferença é quantas identidades cabem no pacote.

Cookie: a sessão que viaja sem a senha

Cookie de Ads Manager é um crachá. Enquanto vale, a plataforma trata o browser como autenticado. Infostealer moderno coleta exatamente isso. Pacote sai, comprador importa noutro ambiente, a BM abre. O gestor ainda tem a senha. A senha não foi pedida.

Isso muda o diagnóstico. “Ninguém pediu 2FA, então não invadiram” é falso. 2FA protege o login novo. Não protege o cookie já emitido. Se o malware colheu a sessão, o próximo passo operacional é revogar sessão, não só trocar senha. Trocar senha e deixar o cookie vivo é trancar a porta da frente com a janela aberta.

Há um segundo caminho: o próprio time exporta cookie para “não perder o login no plantão”. O arquivo vira malware sem malware. Pendrive, WhatsApp, Drive pessoal, pasta compartilhada. Quem intercepta o arquivo intercepta a sessão. Trate export como credencial. Credencial não viaja em grupo. Quando a sessão precisa migrar de máquina, o rito é outro — e o texto de cookies versus fingerprint cobre a camada de storage. Aqui cabe o aviso: arquivo de cookie no laptop do plantão é superfície, não backup.

Cookie também vive além do Ads. Google da MCC, Facebook do perfil pessoal que é admin, Shopify, gateway. O mesmo stealer não escolhe. Empacota o perfil inteiro. Por isso a pergunta depois da detecção não é “qual senha vazou”. É “quais identidades passaram por este disco desde quando”.

Extensão: o atalho que lê o pote

Extensão de browser roda com o browser. Muita gente trata como app inofensivo de produtividade. Na prática, permissão de “ler e alterar dados de todos os sites” é permissão de ler cookie. A loja oficial reduz o lixo. Não zera o risco. Extensão nova, pouco usuário, pedido de permissão amplo, instalação por convite de “parceiro de pixel”: isso entra na lista de não.

O padrão na mesa é o utilitário de mídia. Preview de anúncio, gerador de UTM, captura de criativo, “conecta o Business”. Alguns são legítimos. Alguns são o vetor. O procedimento não é vetar ferramenta. É vetar instalação ad hoc no perfil de produção. Ferramenta nova entra em perfil de teste, em máquina que não tem BM de cliente, com dono e data. Se ninguém consegue explicar a permissão, não instala.

Há extensão que o time já tem e esqueceu. Password manager de consumidor no Chrome da operação. Bloqueador agressivo. Tradutor. Cada uma amplia a superfície. Cada uma pode ser atualizada por um canal que o coordenador não lê. Inventário de extensão por perfil é chato. Inventário depois do incidente é mais chato.

Extensão maliciosa e phishing se encontram. A página falsa pede para “atualizar o conector”. O gestor autoriza. A partir daí o e-mail nem precisa mais. O processo mora no browser. Isolar perfil depois não remove o que já está no perfil. Remove da próxima identidade se você não copiar o perfil podre. Gente copia.

O laptop do plantão e o BYOD

Plantão existe porque a verba não dorme. O risco existe porque o plantão costuma acontecer na casa da pessoa, no notebook que também baixa filme, no Chrome que também é o da família. A política “só o computador da empresa” morre no primeiro sábado em que o cliente grita. Sem alternativa real, o time improvisa. Improviso é o disco errado.

Home office com máquina pessoal mistura identidades de cliente com a vida da pessoa. Extensão da escola do filho. Crack do editor. Download de fonte. Pendrive da gráfica. O mesmo navegador serve o Ads Manager. Se a agência aceita BYOD, aceita o incidente típico de BYOD: malware doméstico com alcance corporativo. Há um texto à parte sobre notebook pessoal. Aqui o recorte é malware: a sessão de cliente não deveria existir em disco que a agência não higieniza.

Há o laptop da empresa que viaja. Café, Uber, casa de parente, USB de hotel. Disco sem criptografia, sessão viva, ausência de bloqueio. Roubo físico é malware com pernas. A resposta é a mesma família: revogar sessão, não só “avisar o TI na segunda”.

Há o computador da recepção. “Só para o estagiário ver o relatório.” Relatório vira login. Login vira extensão. Extensão vira pacote. Quem não precisa autenticar não autentica. Quem autentica usa perfil de operação em máquina com procedimento. Máquina de corredor não é perfil de operação.

Software pirata, fonte grátis e o pacote que vem junto

A mesa de mídia vive de ferramenta cara. Editor, banco de imagem, gerador. O atalho de crack é cultural em muita operação brasileira. Empacotador de crack é cultural no crime. Os dois se encontraram há anos. Continuar fingindo que “é só o Photoshop” é escolher o vetor.

Fonte baixada de site aleatório. Plugin de Premiere. “Pack de criativo viral.” Executável que pede desativar o antivírus para instalar. Cada um desses eventos é mudança de risco. Não precisa de análise de binário. Precisa de regra: software de produção entra por compra, por loja, por pacote interno. O resto não entra na máquina que abre BM.

PDF de briefing com macro. Planilha de mídia de “parceiro”. Arquivo .html que abre no Chrome e pede extensão. O time de mídia recebe arquivo o dia inteiro. Trate arquivo executável e arquivo de browser como credencial até prova. Prova é origem conhecida, não o nome do cliente no assunto.

Lista de proxy grátis, gerador de User-Agent, “checker de fingerprint” de origem duvidosa: o mesmo hábito. Ferramenta de diagnóstico tem lugar. O lugar não é o primeiro resultado de busca colado no perfil da BM boa. Máquina de teste existe para isso. Se não existe, o diagnóstico espera.

O que o isolamento de perfil não lava

Navegador com identidade separada reduz correlação entre contas e reduz o clique na aba errada. Contra malware de sistema, é cerca dentro do pasto. O processo no sistema operacional lê arquivo de perfil. Lê cookie. Lê export. Lê extensão. Trocar de perfil depois da infecção é organizar a casa enquanto o ladrão ainda tem a chave.

Há ganho: raio do incidente documentável. Você sabe quais perfis existiam naquele disco. Sabe dono, proxy, última abertura. Chrome único não sabe. Na hora de revogar, nome bate. Sem nome, o time revoga “o que lembrar” e deixa a MCC.

Há limite: perfil novo em disco velho. Formatar, reinstalação limpa, imagem corporativa. Sem isso, o procedimento de browser é cosmética. Quem opera dezenas de contas e ignora o disco está polindo a fechadura.

Organizar dezenas de contas continua valendo. Inventário, dono, perfil. Acrescente a coluna máquina. Qual disco. Se é da empresa. Quando foi a última reinstalação. Se aceita BYOD. Sem coluna de máquina, o incidente de malware vira discussão de fingerprint.

Primeira hora: a máquina sai de produção

Sinal típico: extensão desconhecida, consumo estranho, popup, campanha que ninguém criou, login de país impossível, antivírus gritando, o próprio gestor admitindo o crack. Qualquer um basta para tirar a máquina da mesa de anúncio. Não “termina a campanha e depois”. A campanha espera. O cookie não espera.

Revogue sessões das identidades que tocaram aquele disco. Troque senhas. Recoloque 2FA. Olhe admin novo, cartão novo, e-mail de recuperação. Avise o cliente das identidades atingidas com fato. Não peça para o gestor “só remover a extensão e testar se o Ads abre”. O Ads abrir é o que o cookie roubado também faz.

Preservar evidência se o jurídico pedir. Na maioria das agências, a evidência útil é a lista do que estava instalado, a hora, o perfil, o que foi revogado. Forense profunda é exceção. Não deixe a exceção atrasar a revogação.

Reinstalação. Imagem limpa. Conta local nova. Perfis de operação recriados, não copiados do backup do disco podre. Backup de cookie do notebook infectado é backup do incidente. Histórico de criativo vive no Drive, não no perfil do Chrome.

Se o plantão precisa continuar, continua em outra máquina, com outro perfil, depois da revogação. Continuar no mesmo laptop “porque o cliente está no ar” é o pedido que o malware espera. SLA de anúncio não autoriza disco sujo.

Higiene que o time consegue seguir

Lista curta. Máquina de produção sem crack. Extensão só as do inventário. Perfil de operação sem Gmail pessoal. Sem export de cookie em pasta solta. Plantão em hardware que a agência aceita, não no PC do primo. Antivírus ligado, não como religião, como camada. Atualização de browser. USB desconhecido fora. Conta admin do Windows que o gestor não usa para navegar.

Entrada do notebook. A primeira hora da máquina nova é política, não wallpaper. Quem instala o que. Quem pode ser admin. Qual Chrome. Qual perfil. Sem isso, cada laptop nasce do jeito da pessoa. O jeito da pessoa inclui o pack de fonte.

Auditoria leve. Uma vez por trimestre, amostra de máquinas: lista de extensão, software não padronizado, cookie export na pasta Downloads, sincronização Google pessoal. Amostra não é polícia. É o mesmo espírito de auditoria de perfil de navegação. Você não precisa de EDR de banco. Precisa de olhar.

Cultura. Quem reporta o clique no crack não vira piada. Quem esconde instala de novo. Incidente de malware em mesa de mídia quase nunca começa num APT. Começa num atalho. O atalho some quando o atalho custa cara no procedimento, não quando o cartaz diz “não baixe vírus”.

A conta de anúncio cai por política, por pagamento, por ambiente. Malware é o quarto eixo que o time chama de “ban misterioso” quando o criativo muda sozinho. Antes de abrir recurso na plataforma, pergunte se o disco ainda é seu. Se não for, o recurso espera. A revogação não.

Na mesa brasileira, o crack do editor e a extensão “de pixel” ainda ganham do antivírus no discurso do plantão. O procedimento curto acima — máquina sai, sessão morre, perfil não se copia do disco podre — cabe numa página. Sem página, o herói remove a extensão e segue. Seguir com cookie vivo é o segundo incidente.