){kind=link}
Pesquisadores de segurança digital das empresas Gen Digital e Expel identificaram as novas famílias de programas maliciosos WordlistLoader e SynkLoader. As ferramentas atuam como portas de entrada para o comprometimento total do sistema operacional Windows e abastecem operadores de extorsão digital com credenciais e acessos corporativos, de acordo com relatórios técnicos publicados nos dias 18 e 20 de agosto respectivamente.
O WordlistLoader atua na distribuição do Amatera Stealer, um vírus especializado em roubar informações e conhecido anteriormente como ACR Stealer ou AcridRain Stealer. O golpe utiliza a técnica ClickFix ao enganar o visitante de uma página da web por meio de falsos testes de verificação.
smart_display
Nossos vídeos em destaque
Ao tentar resolver a validação na tela, a vítima recebe a instrução de colar e rodar um comando no próprio computador. Sem perceber, o usuário baixa o arquivo malicioso que inicia o roubo dos dados.
“Assim que o visitante clica na caixa de seleção ‘Não sou um robô’, ele é conduzido pelo conhecido fluxo do ClickFix, no qual um comando malicioso é copiado para a área de transferência e a vítima é instruída a colá-lo na caixa Executar do Windows para executá-lo, levando ao download do WordlistLoader que resulta na execução do Amatera”, explicou o pesquisador de segurança e autor do estudo, Vojtěch Krejsa, da Gen Digital.
Os avisos falsos de verificação aparecem em sites legítimos que foram invadidos por criminosos. Para dificultar o bloqueio do ataque pelas ferramentas de defesa, o código busca instruções diretamente na tecnologia blockchain por meio de contratos inteligentes. O método foi batizado por analistas de segurança da Expel de EtherHiding. A prática impede a exclusão dos dados pelos serviços tradicionais de hospedagem, uma vez que os registros gravados em rede blockchain não podem ser apagados por terceiros.
“Embora a rede de distribuição seja destinada a hospedar arquivos JavaScript, os invasores a utilizam para armazenar seus códigos maliciosos”, destacou os analisas da empresa de segurança Expel, em relatório técnico que mapeou a infraestrutura do golpe. Segundo os pesquisadores, cerca de 150 mil sistemas foram expostos a essa campanha desde agosto de 2025.
Uma vez instalado na máquina, o WordlistLoader reconstrói as instruções do vírus a partir de listas de palavras comuns em inglês ou códigos numéricos. Em vez de salvar um arquivo executável suspeito no disco, o vírus esconde as partes do seu código dentro de termos de dicionário e só monta o programa final na memória do computador. Essa manobra serve para enganar os sistemas de proteção tradicionais.
Com o caminho livre, o Amatera Stealer passa a rastrear navegadores de internet em busca de senhas salvas, cookies de navegação, carteiras de criptomoedas e arquivos sensíveis armazenados na pasta de downloads da vítima.
Mensagens falsas no ambiente de trabalho
Outra ameaça recém-descoberta, a SynkLoader aposta na personificação de funcionários de suporte técnico para enganar alvos corporativos por meio do aplicativo Microsoft Teams. Ele foi mapeado pela empresa de segurança Expel e publicado em relatório técnico.
“Alguém usando um e-mail com domínio corporativo padrão da Microsoft entrou em contato com o alvo sob a identidade de Suporte de TI. O suposto suporte convenceu o usuário a baixar e instalar um arquivo que parecia ter origem na própria Microsoft”, relatou o pesquisador Marcus Hutchins.
Disfarçado como um limpador de arquivos do sistema, o instalador insere no computador um pacote de ferramentas de invasão. Entre os módulos identificados, há uma tela falsa de bloqueio do Windows. O mecanismo abre uma janela em tela cheia idêntica à tela de autenticação do sistema operacional e impede que a vítima feche o programa até digitar a senha corporativa, entregando a chave de acesso diretamente aos criminosos.
O SynkLoader também ativa recursos de controle remoto e transmissão da tela em tempo real, o que permite aos operadores navegar pela rede interna da empresa a partir do computador da vítima. A equipe técnica da Expel avalia que a sofisticação da ferramenta aponta para o ecossistema de corretores de acesso inicial, grupos especializados em invadir redes corporativas para vender esses acessos a quadrilhas de ransomware.
Para evitar contaminações, analistas da Microsoft e da empresa eSentire recomendam que as organizações treinem equipes para nunca colar comandos manuais na caixa Executar do Windows, desconfiem de verificações do tipo CAPTCHA que exijam atalhos de teclado e bloqueiem o uso de scripts para contas sem privilégios administrativos.
Por falar em segurança no universo digital, mulheres usam IA para filtrar agressores antes de sair de casa. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.