Relembrando o Kronos: o trojan bancário que levou à prisão do pesquisador que travou o WannaCry
O Kronos, trojan bancário surgido em 2014 com funcionalidades similares ao famoso ZeuS, injetava páginas falsas no navegador das vítimas para capturar credenciais de home banking, distribuído por e-mails fraudulentos disfarçados de comunicações fiscais. O caso ganhou notoriedade em 2017 quando Marcus Hutchins — o pesquisador que meses antes havia interrompido a propagação do ransomware WannaCry — foi preso pelo FBI sob acusação de ter criado e vendido o malware entre 2014 e 2015.
O Kronos foi um trojan bancário identificado em 2014, tecnicamente próximo da família ZeuS — uma das linhagens de malware financeiro mais influentes e copiadas da história do crime cibernético. Sua função era simples e direta: roubar credenciais de acesso a contas de home banking para permitir transferências fraudulentas em nome da vítima.
A infecção seguia o padrão clássico de malware bancário da época: e-mails fraudulentos disfarçados de comunicações legítimas — no caso documentado, uma suposta declaração fiscal — traziam um anexo executável (identificado como 'taxes.exe') que instalava o trojan. Uma vez ativo, o Kronos usava a técnica de web injects: quando a vítima acessava o site real do seu banco, o malware injetava campos ou páginas falsas diretamente no navegador, capturando credenciais e códigos de autenticação digitados pela própria vítima em cima do site legítimo — sem que ela percebesse qualquer diferença visual. Os fundos roubados eram então transferidos para contas de fachada, no caso descrito, ligadas a empresas russas usadas como intermediárias de lavagem.
O caso ficou marcado não pela sofisticação técnica do malware em si, mas pelo desfecho da investigação: em agosto de 2017, o FBI prendeu Marcus Hutchins, pesquisador de segurança britânico que meses antes havia se tornado publicamente conhecido por descobrir o 'kill switch' que interrompeu a propagação global do ransomware WannaCry. A acusação apontava que Hutchins teria criado e comercializado o Kronos em fóruns da dark web entre 2014 e 2015, antes de sua atuação como pesquisador de defesa.
Do ponto de vista histórico, o caso Kronos/Hutchins é um lembrete relevante para quem acompanha o ecossistema de crimes financeiros: a técnica de web injection que ele empregava — sobrepor conteúdo falso a um site bancário legítimo dentro do próprio navegador da vítima — segue sendo usada por famílias modernas de malware bancário e trojans de Android, e continua sendo motivo para bancos investirem em detecção de integridade de sessão e em autenticação fora de banda (como confirmação por app separado ou token físico) que não dependa apenas do que é exibido na tela do navegador infectado.