Malware bancário de origem brasileira continua activo após operações policiais e tem sido distribuído através de campanhas de phishing que exploram temas financeiros e documentos aparentemente legítimos.
O trojan bancário Grandoreiro, uma das ameaças financeiras surgidas na América Latina, voltou a aparecer em novas campanhas de distribuição, demonstrando que as operações realizadas pelas autoridades nos últimos anos não eliminaram completamente a ameaça.
A Acronis identificou recentemente uma nova campanha do malware com foco principalmente no México e outros alvos da América Latina. A investigação mostra que os criminosos continuam a modificar as técnicas utilizadas para fazer o código malicioso chegar aos computadores das vítimas.
O Grandoreiro é conhecido desde pelo menos 2016 e foi desenvolvido para roubar informações financeiras, credenciais e outros dados que podem ser utilizados em fraudes. A Microsoft classifica-o como um trojan bancário capaz de procurar informações relacionadas com operações financeiras.
Faturas e cobranças são usadas como isco
Uma das estratégias utilizadas pelos operadores do Grandoreiro consiste em explorar mensagens que parecem legítimas e relacionadas com assuntos financeiros, facturação, serviços públicos ou instituições conhecidas.
Em campanhas anteriormente analisadas, investigadores identificaram mensagens que imitavam comunicações de entidades governamentais, empresas de energia, instituições financeiras e outros serviços. A IBM, por exemplo, documentou campanhas dirigidas a utilizadores no México e na Costa Rica que utilizavam temas relacionados com facturação e comunicações oficiais para distribuir o malware.
O objectivo é fazer com que a vítima confie na mensagem e abra um ficheiro ou siga um link. A partir daí, diferentes componentes podem ser utilizados para instalar o Grandoreiro no computador.
Malware mudou de estratégia após operação policial
A ameaça ganhou atenção internacional em 2024, quando uma operação coordenada com apoio da INTERPOL levou à detenção de cinco administradores ligados à operação do Grandoreiro.
Segundo a INTERPOL, as autoridades brasileiras anunciaram as detenções em Janeiro de 2024, num esforço que contou com cooperação internacional para identificar e interromper a infraestrutura utilizada pelos criminosos.
A operação representou um golpe importante para a estrutura criminosa, mas não significou o desaparecimento definitivo do malware. Investigações posteriores continuaram a encontrar novas campanhas e variantes.
A própria Acronis afirma que o Grandoreiro permaneceu activo apesar dos esforços de desmantelamento realizados em 2024.
Como evitar cair no golpe
Utilizadores devem desconfiar especialmente de mensagens que exigem pagamento imediato, apresentam supostas facturas ou notificações bancárias inesperadas e pedem a abertura de ficheiros.
Algumas medidas simples podem reduzir significativamente o risco:
- Não abra anexos inesperados enviados por desconhecidos.
- Não execute ficheiros ".exe", scripts ou outros programas recebidos por e-mail sem verificar a origem.
- Confirme directamente com a empresa ou instituição se a suposta factura é verdadeira.
- Evite clicar em links enviados através de mensagens suspeitas.
- Mantenha o sistema operativo e o antivírus actualizados.
- Utilize mecanismos de protecção do navegador contra páginas de phishing.
- Se uma mensagem exigir urgência para efectuar um pagamento, confirme a informação por outro canal antes de agir.
O Grandoreiro continua a ser uma ameaça que ultrapassa as fronteiras da América Latina. A IBM já observou campanhas relacionadas com o malware em outras regiões, incluindo África e Europa, o que significa que utilizadores fora dos principais países-alvo também podem ser expostos.
A principal defesa continua a ser a cautela: uma factura aparentemente normal pode ser apenas o pretexto utilizado pelos criminosos para tentar instalar um programa capaz de comprometer informações financeiras.
