Pesquisadores de segurança digital das empresas Gen Digital e Expel identificaram duas novas famílias de malware, chamadas WordlistLoader e SynkLoader. Essas ameaças atuam como portas de entrada para invasões em sistemas operacionais Windows e fornecem dados críticos para operadores de extorsão digital, incluindo credenciais e acessos corporativos.
O WordlistLoader é responsável pela distribuição do Amatera Stealer, um vírus que rouba informações pessoais, anteriormente conhecido como ACR Stealer. O golpe utiliza uma técnica chamada ClickFix, que ilude os usuários em sites legítimos, sugerindo que realizem uma verificação em falso. Durante esse processo, a vítima é instruída a colar um comando malicioso em seu computador, permitindo que o malware seja baixado e comece a roubar dados.
“Quando o usuário clica na caixa ‘Não sou um robô’, ele é levado a um fluxo que copia um comando malicioso para a área de transferência. A vítima, sem perceber, executa esse comando, que resulta no download do WordlistLoader e na ativação do Amatera”, explicou Vojtěch Krejsa, pesquisador da Gen Digital.
Os criminosos conseguem contornar as defesas inserindo mensagens falsas em sites legítimos que foram comprometidos. Para complicar ainda mais a detecção, o malware utiliza a tecnologia blockchain para buscar instruções, um método denominado EtherHiding, que impede a exclusão dos dados por serviços de hospedagem tradicionais.
Além disso, cerca de 150 mil sistemas já foram afetados por essa campanha desde agosto de 2025. O WordlistLoader oculta seu código em listas de palavras comuns e só o monta na memória do computador, evitando a detecção pelos antivírus. Com o acesso garantido, o Amatera Stealer começa a buscar senhas salvas, cookies, carteiras de criptomoedas e arquivos sensíveis.
Outra ameaça identificada, o SynkLoader, foca em enganar empresas ao se passar por suporte técnico no Microsoft Teams. Um criminoso utilizando um e-mail corporativo convencido o alvo a baixar um arquivo que parecia legítimo. Disfarçado como um limpador de arquivos, o instalador insere ferramentas de invasão no sistema.
O SynkLoader também cria uma tela falsa de bloqueio do Windows, impedindo a vítima de fechar o programa até que digite sua senha, entregando-a diretamente aos criminosos. A equipe da Expel alerta que essa ferramenta reflete a sofisticação crescente dos grupos que invadem redes corporativas para vender acessos a quadrilhas de ransomware.
Para prevenir essas infecções, especialistas da Microsoft e da eSentire recomendam que as empresas treinem suas equipes para evitar colar comandos na caixa Executar do Windows, desconfiem de verificações CAPTCHA que exijam atalhos de teclado e restrinjam o uso de scripts para contas sem privilégios administrativos.
Fonte: www.tecmundo.com.br