Vírus desenvolvido por brasileiros afeta bancos na Europa e América Latina com técnicas sofisticadas

O Brasil se firmou como um dos principais exportadores de malware bancário do mundo. Recentemente, uma nova campanha de phishing, relacionada a grupos cibercriminosos brasileiros, está espalhando os trojans Casbaneiro (ou Metamortmo) e Horabot pela América Latina e Europa. Esses ataques utilizam métodos sofisticados que conseguem driblar os filtros de segurança mais modernos. O Casbaneiro se concentra no roubo direto de dados financeiros, enquanto o Horabot age como um “motor de disseminação”, sequestrando contas de e-mail para enviar novas iscas aos contatos das vítimas.

Como o golpe se infiltra no Windows

A campanha atual adota uma técnica clássica de engenharia social: e-mails que se disfarçam de intimações judiciais em espanhol. O método de entrega é um ponto importante nessa abordagem:

1. O PDF Dinâmico: A vítima recebe um PDF protegido por senha. Ao clicar em um link dentro do documento, baixa um arquivo ZIP que executa códigos HTA e VBS.

2. Privilégios de Administrador: As tecnologias da Microsoft permitem que o script opere com privilégios elevados, concedendo aos criminosos acesso quase total ao sistema.

3. Evasão de Antivírus: O script realiza verificações automáticas para identificar se softwares como o Avast estão em execução, pausando a execução em caso de risco de análise.

O papel destrutivo do Horabot

O Horabot se distingue de malwares comuns por transformar a máquina infectada em uma central de spam. Ele usa ferramentas de automação para coletar contatos de serviços como Microsoft Outlook, Yahoo, Live e Gmail.

Após coletar os contatos, o servidor dos criminosos gera automaticamente um novo PDF personalizado para cada um deles, enviando o vírus a partir da conta de e-mail legítima da vítima. Como o e-mail é enviado de um remetente conhecido, as taxas de abertura são bem altas, favorecendo uma propagação em massa.

WhatsApp e ClickFix: A evolução do ataque

Além dos e-mails, o grupo Water Saci tem utilizado o WhatsApp Web para espalhar o malware de forma semelhante a um worm. Campanhas recentes também têm empregado a técnica ClickFix, que induz os usuários a executar arquivos maliciosos, alegando “corrigir erros” de visualização no navegador.

Para os usuários, o alerta é claro: intimações judiciais que vêm com anexo PDF protegido por senha são, na maioria das vezes, tentativas de infecção. Em 2026, a habilidade dos grupos brasileiros em inovar seus algoritmos de ataque exige que a manutenção dos sistemas e a cautela com links externos sejam redobradas.