O Brasil consolidou sua posição como um dos maiores exportadores de malware bancário do mundo. Uma nova campanha de phishing, atribuída aos grupos cibercriminosos brasileiros Augmented Marauder e Water Saci, está espalhando os trojans Casbaneiro (ou Metamortmo) e Horabot por toda a América Latina e Europa, utilizando métodos de propagação que desafiam os filtros de segurança modernos. O ataque é multifacetado: enquanto o Casbaneiro foca no roubo direto de dados financeiros, o Horabot atua como um “motor de disseminação”, sequestrando contas de e-mail para enviar novas iscas aos contatos das vítimas.
Como o golpe se infiltra no Windows
A campanha atual utiliza uma isca clássica de engenharia social: e-mails que imitam intimações judiciais em espanhol. O diferencial técnico está no método de entrega:
-
O PDF Dinâmico: A vítima recebe um PDF protegido por senha. Ao clicar no link interno, baixa um arquivo ZIP que executa cargas HTA e VBS.
-
Privilégios de Administrador: Essas tecnologias da Microsoft permitem que o script opere com privilégios elevados, dando aos criminosos acesso quase total ao sistema.
-
Evasão de Antivírus: O script realiza verificações automáticas para detectar se softwares como o Avast estão rodando, pausando a execução se houver risco de análise.
O papel destrutivo do Horabot
Diferente de malwares comuns, o Horabot não apenas infecta a máquina; ele a transforma em uma central de spam. Ele utiliza ferramentas de automação para coletar contatos do Microsoft Outlook e de serviços como Yahoo, Live e Gmail.
A partir daí, o servidor dos criminosos gera automaticamente um novo PDF personalizado para cada contato da lista da vítima, enviando o vírus a partir da conta de e-mail legítima da pessoa infectada. Como o e-mail vem de um remetente conhecido, as taxas de abertura são altíssimas, criando um efeito de propagação em massa.
WhatsApp e ClickFix: A evolução do ataque
Além do e-mail, o grupo Water Saci tem utilizado o WhatsApp Web para disseminar o malware de forma semelhante a um worm. Campanhas recentes também incorporaram a técnica ClickFix, que induz o usuário a executar arquivos maliciosos sob o pretexto de “corrigir erros” de visualização no navegador.
Para o usuário do Hardware.com.br, o alerta é claro: intimações judiciais via anexo PDF protegido por senha são, quase invariavelmente, tentativas de infecção. Em 2026, a agilidade dos grupos brasileiros em inovar seus algoritmos de ataque exige que a manutenção de sistemas e a cautela com links externos sejam redobradas.
