Pacotes de malware combinando infostealers e RATs alimentam fraude financeira na região EMEA
Uma investigação da Group-IB mapeou como infostealers populares como RedLine (35 milhões de logs) e Vidar (8,6 milhões de logs) são distribuídos junto com ransomware e RATs em pacotes prontos, formando uma cadeia de fraude que vai do roubo de credenciais à venda de acesso inicial em fóruns da dark web. Os dados coletados incluem senhas de navegador, mais de 30 formatos de carteiras de criptomoedas, dados de cartão e arquivos com nomes como "wallet" e "2fa". O trabalho híbrido, citado no artigo como preferência de 87% dos funcionários pesquisados, amplia o risco ao misturar credenciais corporativas em dispositivos pessoais menos protegidos.
A Group-IB investigou campanhas em diversos países da região EMEA (Egito, África do Sul, Arábia Saudita, Turquia, Marrocos, Emirados Árabes, Quênia, Israel, Paquistão, Índia e Alemanha) e encontrou um padrão consistente: em vez de um único malware, os atacantes distribuem "bundles" que combinam infostealer, downloader, RAT e, no estágio final, ransomware.
O infostealer — tipicamente RedLine, Vidar ou Amadey — é o primeiro a rodar, varrendo o sistema por credenciais salvas em navegadores, clientes FTP e VPN, sessões de Telegram e Discord, dados de autofill de cartão de crédito e arquivos cujo nome contenha termos como "wallet", "2fa" ou "backup", alvo direto de mais de 30 formatos de carteira de criptomoedas. Esses dados são empacotados em "logs" e vendidos em massa em fóruns da dark web, funcionando como matéria-prima para fraude financeira direta (esvaziamento de contas e carteiras) ou como acesso inicial revendido a outros grupos, que então instalam o RAT ou o ransomware.
A escala chama atenção: os números de logs, dezenas de milhões apenas para dois stealers, mostram que esse não é um problema de vítimas isoladas, mas de uma cadeia de suprimentos de dados roubados que sustenta boa parte da fraude financeira online, do phishing bancário à tomada de contas.
A exposição de dispositivos pessoais usados em regime híbrido ou remoto é apontada como fator de risco relevante, já que credenciais corporativas acabam salvas em máquinas com controles mais fracos. Recomenda-se separar rigorosamente dispositivo pessoal de corporativo, usar MFA que não dependa apenas de SMS, monitorar fóruns e marketplaces de logs para detecção precoce de credenciais vazadas da própria organização, e adotar antivírus/EDR atualizado capaz de identificar as famílias de stealer mais ativas.