O grupo GoldFactory está distribuindo o trojan bancário Android Gigabud em conjunto com o Vwork, uma versão modificada do clonador de aplicativos open-source Shelter, para clonar apps bancários legítimos em um perfil isolado do sistema e executar transações fraudulentas sem levantar suspeita. A campanha já comprometeu mais de 1.400 dispositivos na Indonésia, com perdas próximas de US$ 961 mil entre fevereiro e julho de 2026, e também atinge Brasil, Colômbia, México e outros países.
A Check Point Research detalhou o funcionamento do JSCeal, um ladrão de criptoativos ativo desde 2025 que compila seu código em bytecode V8 para dificultar a engenharia reversa. Além de roubar senhas, cookies e sessões do Telegram, o malware ataca diretamente exchanges como Binance e Bybit e chega a substituir scripts legítimos do Ledger para desviar transações.
Infostealers como RedLine, Lumma e Vidar coletam de máquinas infectadas muito mais do que senhas salvas: cookies de sessão, dados de preenchimento automático, carteiras de cripto e chaves SSH, tudo revendido em pacotes chamados de logs. O artigo (baseado em orientação da empresa Flare) explica que um cookie de sessão roubado pode permitir que o atacante reproduza o login já autenticado, pulando completamente a etapa de MFA, e propõe um fluxo de priorização e resposta para equipes de segurança.
O grupo iraniano Mirage Kitten está abordando engenheiros de software no LinkedIn com falsas ofertas de vaga em fintechs e empresas de aviação no Egito, Etiópia e Afeganistão. O 'teste técnico' enviado à vítima é, na verdade, um projeto trojanizado hospedado num link Amazon S3 legítimo, distribuindo os malwares NodeRabbit e PollCat. O golpe usa um truque inédito de engenharia social: proibir explicitamente o uso de assistentes de IA na revisão do código, justamente porque uma IA identificaria a importação maliciosa.
O grupo Silver Fox está distribuindo o RAT ValleyRAT escondido dentro de instaladores que imitam apps populares como DingTalk, Chrome e Tencent Meeting, usando DLL sideloading para evitar detecção. O malware monitora a janela ativa e captura teclado e clipboard, dados que alimentam diretamente roubo de credenciais e fraude financeira. A campanha já soma mais de 100 mil detecções em 2026, concentradas na China e na Índia.
A Anthropic confirmou que infostealers como Vidar, LummaC2, StealC, RedLine, Acreed e Atomic Stealer roubaram cookies de sessão autenticada de usuários do Claude, permitindo acesso às contas sem precisar de senha nem 2FA. Os atacantes usaram esse acesso para consumir o uso pago das vítimas, e a empresa revogou sessões, removeu cartões salvos e reembolsou cobranças indevidas. O caso mostra que o roubo de sessão é hoje um vetor tão relevante para fraude quanto o roubo de senha.
Um relatório da Group-IB compara os desfechos de dois bancos atingidos pela mesma campanha de malware bancário GoldFactory, que já infectou cerca de 11 mil dispositivos na Indonésia, Tailândia e Vietnã e causou entre US$ 1,5 e 2 milhões em prejuízos. Enquanto o mercado registra fraude bem-sucedida em cerca de 0,25% dos aparelhos comprometidos, a instituição que unificou detecção, atribuição e resposta a incidentes reduziu essa taxa para 0,027% — nove vezes menor. O caso mostra que a arquitetura de resposta a fraude, e não apenas a detecção do malware em si, é o que determina o prejuízo final.
A Group-IB identificou o WindRelay, um novo malware Android distribuído por meio de ligações em que golpistas se passam por funcionários de banco e induzem a vítima a instalar um app de "suporte". Uma vez com acesso remoto ao aparelho, os criminosos tomam empréstimos em nome da vítima, capturam dados de cartão e concluem transações fraudulentas usando o PIN informado durante a própria ligação. Um caso documentado mostrou o ataque completo, do primeiro contato ao roubo, em apenas 13 minutos.
A Group-IB expôs o Balonx Sistema, uma plataforma de Phishing-as-a-Service operada a partir do México que já mirou mais de 20 instituições financeiras, incluindo o Banamex. O serviço combina páginas de phishing em tempo real que interceptam códigos de segunda fator, um RAT para Android distribuído pela própria página falsa e um módulo de vishing com IA (CallFlow) capaz de sustentar até 30 ligações simultâneas com voz sintética. Uma falha operacional dos próprios criminosos, com repositórios no GitHub vazando código-fonte e credenciais, permitiu o mapeamento completo da operação.
O trojan bancário ToxicPanda evoluiu para uma versão 2.0 que amplia drasticamente seu alcance, saindo de um foco europeu restrito para atacar 349 aplicativos financeiros em 16 países. A nova versão abusa da depuração sem fio (Wireless Debugging) do Android para obter acesso em nível de shell ao aparelho sem o conhecimento da vítima, além de usar telas sobrepostas falsas para roubar credenciais bancárias, PINs e senhas de bloqueio. A descoberta foi publicada pela equipe zLabs da Zimperium.
Pesquisadores da ThreatFabric identificaram o Manic, malware Android que combina trojan bancário com spyware completo, ativo desde fevereiro de 2026 e monitorando 169 aplicativos, com foco em bancos ucranianos, serviços governamentais e plataformas de criptomoedas europeias. O malware abusa dos serviços de Acessibilidade para capturar PINs digitados em apps bancários sem interromper a transação, e usa uma rede mesh via Bluetooth e Wi-Fi Direct para exfiltrar dados mesmo quando o aparelho infectado está sem acesso à internet.
Uma campanha de Business Email Compromise analisada pela KnowBe4 mostra um e-mail forjado, simulando comunicação interna do Metropolitan Bank and Trust Company sobre uma transferência SWIFT pendente, entregando um script ofuscado que carrega o infostealer Agent Tesla inteiramente em memória, sem gravar o payload final em disco. O malware varre 21 módulos de coleta de credenciais — navegadores, Outlook, Discord, cofre de credenciais do Windows — antes de exfiltrar tudo via FTP, mirando departamentos financeiros para viabilizar fraude de pagamento.
O grupo Famous Chollima, ligado à Coreia do Norte, está se passando por recrutadores no LinkedIn (e também Discord, Telegram e email) oferecendo vagas remotas bem remuneradas para atrair candidatos a um processo seletivo falso. No fim do processo, a vítima é induzida por um pretexto técnico a colar comandos no terminal do próprio computador, instalando um RAT.
O MacSync Stealer é um infostealer para macOS que rouba senhas de Keychain e navegador, chaves SSH, credenciais AWS e ativos de wallets como Ledger e Trezor, distribuído via técnica ClickFix. A Microsoft conseguiu ligar mais de 30 domínios diferentes à mesma campanha analisando padrões de comportamento (sequências de requisições, uploads em chunks, criação de arquivos temporários) em vez de depender de listas de domínios maliciosos, que os operadores trocam constantemente.
A Group-IB expôs o "Balonx Sistema", uma plataforma de Phishing-as-a-Service vendida por assinatura semanal (a partir de 3.000 MXN) que mira mais de 20 instituições financeiras mexicanas, incluindo o Banamex. A operação combina páginas de phishing com WebSocket em tempo real para burlar MFA, um módulo de vishing automatizado por IA generativa (GPT-4o-mini, ElevenLabs, Whisper) e um RAT Android disfarçado de app de "proteção bancária".
Distribuído via campanhas ClickFix com páginas falsas no GitHub, o AmnesiaStealer é um infostealer para macOS com um módulo de streaming que duplica o perfil do navegador da vítima, abre uma instância headless e transmite a tela ao atacante a cerca de 3fps com controle total de mouse, teclado e navegação. Isso permite operar contas já logadas — bancos, exchanges de cripto, e-mail — preservando as impressões digitais do dispositivo e da rede, o que dificulta a detecção por sistemas antifraude baseados em device fingerprinting.
A Kaspersky documentou o CrashStealer, um infostealer para macOS que se disfarça do utilitário nativo CrashReporter e é distribuído por meio de um site falso de uma ferramenta de videoconferência fictícia chamada 'Werkbit'. O malware usa um certificado de desenvolvedor Apple válido para contornar o Gatekeeper e rouba credenciais do Keychain, de 14 gerenciadores de senha e de 80 extensões de carteiras de criptomoeda.
Um novo malware Android batizado WindRelay está sendo distribuído junto com o RAT SpyNote para executar fraudes bancárias completas em poucos minutos: o criminoso liga se passando por atendente do banco, induz a vítima a instalar um app personalizado com seu nome, assume o controle remoto do aparelho e, sem nenhum compartilhamento de tela, retransmite ao vivo os dados NFC do cartão físico enquanto solicita empréstimos pelo próprio app bancário da vítima. Pesquisadores documentaram um ataque completo — do primeiro contato ao saque — em cerca de 13 minutos.
Em análise técnica própria, a Group-IB detalha o esquema de fraude que combina o RAT SpyNote com o novo malware de retransmissão NFC WindRelay, mostrando como o golpe opera como um kit completo: acesso remoto ao app bancário da vítima para solicitar empréstimos, somado a um canal de saque físico que converte o celular infectado em um leitor de pagamento fraudulento. A empresa identificou vítimas concentradas em República Tcheca, Eslováquia e Eslovênia e propõe indicadores de detecção específicos para bancos e operadoras móveis.
Uma campanha ativa de ClickFix está enganando usuários de macOS para colar e executar comandos maliciosos no Terminal, instalando um infostealer escrito em Go. O malware rouba senhas salvas no navegador, dados do Keychain e carteiras de criptomoedas (Bitcoin, Ethereum, Monero, entre outras), driblando o Gatekeeper ao remover o atributo de quarentena dos arquivos. Uma característica incomum é a possibilidade de configurar o saque de apenas uma fração dos fundos da vítima, tornando o roubo mais difícil de perceber a tempo.
Golpistas distribuem uma versão falsa do executor de scripts Xeno para Roblox em fóruns de jogos e Discord, prometendo burlar o anti-cheat. O instalador entrega, em múltiplos estágios, um infostealer que rouba cookies, tokens de conta (Discord, Roblox, Microsoft) e dados de carteiras cripto, além de um RAT com keylogging, streaming de tela e execução remota de comandos.
Uma investigação da Flare em milhares de posts de fóruns underground mostra como o RAT Android BTMOB, antes vendido por uma única operação, virou um mercado disputado por revendedores, vendedores de código-fonte e cópias piratas mais baratas. O malware combina controle remoto do smartphone com kits de phishing e roubo de credenciais, reduzindo a barreira técnica para criminosos aplicarem fraude bancária móvel em escala.
Pesquisadores da Hunt.io e o jornalista independente NetAskari rastrearam o vazamento do framework de RAT Android "Flying Eagle" (飞鹰), originalmente distribuído por um app falso que se passa por um serviço de uma polícia provincial chinesa. A partir de duas fingerprints técnicas de infraestrutura, mapearam 170 servidores ativos ligados a um mercado no Telegram que vende acesso pronto para roubar credenciais bancárias e de carteiras cripto por meio de telas de sobreposição (overlay). Canais de suporte no Telegram chegam a orientar operadores passo a passo sobre como esvaziar contas de Alipay e WeChat das vítimas, tratadas internamente como "fish".
Uma campanha rastreada como STAC4749 usa ligações no Microsoft Teams com atacantes se passando por suporte técnico para convencer funcionários a abrir sessão de acesso remoto via Quick Assist ou pela ferramenta RemSupp. A partir daí, os criminosos instalam um backdoor via PowerShell, se escondem em entradas de registro com nomes de componentes de áudio legítimos e adicionam AnyDesk ou DWAgent como acesso reserva antes de tentar movimento lateral. Em pelo menos um caso documentado, o intervalo entre o primeiro contato no Teams e a implantação do ransomware Chaos foi inferior a 17 horas.
O MedusaHVNC é um trojan de acesso remoto oferecido em modelo malware-as-a-service que abre uma área de trabalho oculta do Windows para operar o navegador da vítima sem que ela perceba, roubando cookies, senhas e sessões já autenticadas. Como a sessão sequestrada roda na própria máquina da vítima, com o IP e o fingerprint reais dela, o golpe é especialmente eficaz para burlar mecanismos antifraude baseados em risco de dispositivo.
A campanha de malvertising SourTrade, ativa desde o fim de 2024 em 25 idiomas e 12 países, replica páginas falsas de Solana, Luno e TradingView para atrair traders e investidores em cripto. Em vez de entregar um executável pronto, o JavaScript da página monta o malware peça por peça dentro da memória do navegador, driblando antivírus e inspeção de rede. O payload final é um infostealer que rouba senhas, cookies e carteiras de criptomoedas, com foco direto em fraude financeira.
Pesquisadores da Cisco Talos identificaram o UAT-11795, ator russo-falante ativo desde meados de 2025, distribuindo instaladores trojanizados de Zoom, Webex, MobaXterm e outras ferramentas para instalar o Starland RAT e o implante em memória WLDR. O objetivo é roubar credenciais de navegador, mapear carteiras de criptomoeda e sequestrar sessões de Discord, Telegram e Steam para uso em fraudes subsequentes.
O grupo financeiramente motivado UAT-11795 distribui instaladores adulterados de softwares populares (WebEx, Zoom, MobaXterm, DBeaver, FaceIT) para instalar o novo backdoor Starland RAT. A ameaça rouba credenciais, dados do Active Directory e visa mais de 40 carteiras de criptomoedas, atingindo principalmente usuários nos EUA, além de vítimas na Alemanha, Romênia e Venezuela.
A KnowBe4 relatou que o ClickFix — a técnica que faz a própria vítima copiar e executar um comando malicioso a partir de um falso erro ou CAPTCHA — se tornou o vetor de entrega de malware mais usado, contornando controles de endpoint.
A Zimperium zLabs descreveu o Rokarolla, trojan bancário Android que ataca 217 aplicativos financeiros, rouba PINs e códigos SMS, cria overlays de login falsos e desativa o Google Play Protect.
A Group-IB detalhou o SilabRAT (também chamado SnappyClient), um RAT avançado desenvolvido pelo ator conhecido como o1oo1 e vendido como Malware-as-a-Service em fóruns russos de cibercrime por assinatura mensal de US$5.000. O módulo AutoWallet automatiza a quebra de senhas de carteiras cripto, enquanto técnicas de bypass da criptografia do Chrome e evasão avançada (HVNC, AMSI, UAC) dificultam a detecção.
A Cyble (CRIL) documentou o OverlayPhantom, trojan Android que mira mais de 180 apps financeiros em dez países, usando overlays em WebView e transmissão de tela em tempo real via MediaProjection.
Uma nova versão do trojan bancário Android TrickMo passou a mirar França, Itália e Áustria em 2026, espalhando-se por anúncios falsos no Facebook e no TikTok e interceptando códigos 2FA por SMS.
A ESET descreve como o grupo Silver Fox, ativo desde 2023, aproveita a temporada anual de declaração de imposto e mudanças de RH no Japão para enviar phishing personalizado com nomes reais de empresas, entregando o trojan de acesso remoto ValleyRAT a funcionários. O timing sazonal explora o momento em que profissionais estão mais propensos a abrir comunicações fiscais e de RH sem desconfiar.
Pesquisadores da Zimperium detalharam seis famílias de malware Android para fraude financeira; entre elas, o PixRevolution ataca especificamente o Pix, esperando a vítima iniciar a transferência para substituir a chave do recebedor pela do golpista.
Durante a temporada de declaração de impostos indonésia, criminosos usam contas falsas de WhatsApp se passando pela receita federal (DJP) para distribuir aplicativos maliciosos que imitam o app oficial Coretax, instalando trojans bancários da infraestrutura GoldFactory (Gigabud.RAT, MMRat e Taotie). O malware abusa de serviços de acessibilidade para gravar a tela, capturar credenciais e OTPs, e executar transferências automáticas, com prejuízo estimado entre US$ 1,5 e 2 milhões só na campanha local e cerca de US$ 6 milhões de impacto anual global da mesma infraestrutura MaaS.
Pesquisadores do Group-IB mapearam um ecossistema chinês vendido em canais do Telegram que usa dois aplicativos Android com NFC — um instalado no celular da vítima e outro no do criminoso — para retransmitir dados de cartões de pagamento em tempo real através de um servidor de comando e controle. O golpe é vendido como serviço por assinatura, com suporte ao cliente em turnos, e já teria movimentado centenas de milhares de dólares em compras fraudulentas feitas por redes de mulas em lojas físicas.
A Group-IB descreveu uma nova geração de malware Android para furto de SMS no Uzbequistão, batizada Wonderland, que substitui a espionagem passiva antiga por controle remoto bidirecional via WebSocket. O malware intercepta OTPs e alertas bancários, dispara comandos USSD e mensagens em nome da vítima, e se dissemina majoritariamente pelo Telegram usando sessões roubadas e APKs disfarçados de vídeos ou documentos. Segundo a empresa, apenas um grupo já monitorado teria drenado mais de US$ 2 milhões desde janeiro de 2025 usando essa técnica.
A Group-IB detalha a evolução do grupo GoldFactory, que desde 2024 usa frameworks de instrumentação como Frida, Dobby e Pine para implantar código malicioso dentro de aplicativos bancários originais na Indonésia, Vietnã e Tailândia. Ao manter a aparência e o funcionamento do app oficial, as variantes identificadas (FriHook, SkyHook, PineHook e o novo Gigaflower) escondem sua atividade fraudulenta, abusam de serviços de acessibilidade e capturam dados financeiros e documentos de identidade. A campanha já soma mais de 11 mil dispositivos infectados e atingiu ao menos 30 instituições financeiras, normalmente após a vítima ser convencida por SMS ou Zalo, fingindo ser uma autoridade, a instalar o app adulterado.
O trojan bancário Qwizzserial, identificado pela primeira vez pela Group-IB em meados de 2024, teve forte crescimento de atividade no Uzbequistão ao se disfarçar de aplicativos legítimos e canais oficiais do governo distribuídos via Telegram. Uma vez instalado, ele intercepta SMS de bancos e códigos OTP, filtra mensagens por valor de transação e envia os dados roubados para bots do Telegram controlados pelos criminosos.
A Group-IB detalha o ClickFix, técnica de engenharia social que exibe um pop-up de falsa verificação — reCAPTCHA ou proteção Cloudflare — instruindo a vítima a apertar Windows+R e colar um comando que, sem ela perceber, já foi copiado automaticamente para a área de transferência pelo próprio site malicioso. O comando executa PowerShell ofuscado via mshta.exe, entregando principalmente o infostealer Lumma C2, focado em carteiras cripto e extensões de autenticação em dois fatores salvas no navegador, além de ferramentas de acesso remoto como DarkGate.
A Group-IB detalha um esquema no Oriente Médio que começa com infecção por malware infostealer (como o RedLine Stealer), passa por uma ligação de um falso funcionário de governo e termina com a instalação de ferramentas de acesso remoto que permitem ao golpista ver a tela da vítima em tempo real. Enquanto a vítima acredita estar resolvendo uma reclamação em um portal oficial, o golpista captura dados do cartão e os códigos OTP exibidos na tela.
Pesquisadores da Group-IB compararam duas famílias de infostealers vietnamitas, VietCredCare e DuckTail, que sequestram contas comerciais do Facebook para fraude publicitária e revenda de acessos. A análise ocorre após a prisão de mais de 20 pessoas em maio de 2024 ligadas a essas campanhas, mas mostra que apenas um dos grupos parece ter sido afetado pela operação policial. O caso ilustra como o roubo de credenciais de contas de anúncio virou um negócio criminoso estruturado e resiliente.
A Group-IB reúne dados recentes sobre fraude digital na Ásia mostrando perdas equivalentes a 1%–3% do PIB em alguns países, com deepfakes contornando verificações de KYC, bots abrindo contas falsas em massa e trojans bancários direcionados a apps financeiros. O artigo argumenta que o monitoramento transacional tradicional (AML/OFAC) já não é suficiente e propõe complementar a defesa com sinais de dispositivo, comportamento e inteligência de ameaças.
A Group-IB descobriu uma campanha de fraude de investimento (pig butchering) que distribui um app de trading falso — batizado de UniShadowTrade — via lojas oficiais de iOS/Android e sites de phishing, atingindo vítimas na Ásia-Pacífico, Europa, Oriente Médio e África. O aplicativo nada mais é do que uma casca que carrega uma interface web fraudulenta simulando operações de investimento, usada para induzir depósitos crescentes até bloquear qualquer saque.
A Group-IB documentou uma campanha ativa na Malásia usando o RAT Android CraxsRAT para roubar credenciais bancárias e realizar saques não autorizados, com mais de 190 amostras identificadas concentradas em Kuala Lumpur. As vítimas são atraídas por sites de phishing que imitam marcas locais de alimentação, logística e varejo antes de serem induzidas a instalar o app malicioso.
A Group-IB identificou e rastreou o GXC Team, um grupo que vende phishing-as-a-service com IA e malware Android para interceptar OTP, já tendo mirado 36 bancos espanhóis e outras 30 instituições em países como EUA, Reino Unido, Eslováquia e Brasil. O diferencial do grupo é combinar kits de phishing tradicionais com chamadas de voz geradas por IA para induzir vítimas a entregar códigos de autenticação, elevando bastante a sofisticação do golpe.
RAT para Android derivado do código vazado do Spymax dá controle total sobre o aparelho da vítima, incluindo captura de credenciais bancárias, SMS e câmera. Distribuído via aplicativos falsos que imitam marketplaces, salões de beleza, restaurantes e até um 'centro antifraude' fictício, já foi usado em campanhas em Singapura contra cerca de dez marcas diferentes desde 2023.
Descoberto pela Group-IB, o VietCredCare é um infostealer em .NET, ativo desde 2022, especializado em roubar credenciais de navegadores vietnamitas e filtrar automaticamente quais contas comprometidas administram anúncios no Facebook Business com saldo de crédito disponível — um alvo de maior valor para revenda ou uso em campanhas fraudulentas.
O Inferno Drainer foi um serviço de 'wallet drainer as a service' que, entre novembro de 2022 e novembro de 2023, ajudou afiliados a roubar cerca de US$ 80 milhões em criptomoedas por meio de mais de 16 mil domínios de phishing imitando protocolos Web3 como Seaport e WalletConnect, além de mais de 100 marcas cripto. Mesmo após o encerramento anunciado, o painel seguiu ativo até janeiro de 2024, e o modelo de negócio de comissão 80/20 já inspira sucessores.
A Group-IB detalhou o funcionamento do GoldDigger, trojan bancário Android que se disfarça de app governamental ou de concessionária de energia vietnamita para monitorar 51 aplicativos financeiros, carteiras digitais e apps de criptomoeda. Usando abuso do serviço de acessibilidade e um protetor comercial (Virbox) para dificultar análise, o malware captura senhas, telas e até códigos de segunda autenticação.
A Group-IB descreveu o Gigabud, trojan bancário Android ativo desde 2022 com duas variantes: uma versão RAT que abusa do serviço de acessibilidade para gravar tela e simular apps de bancos, e uma versão "Loan" que se disfarça de aplicativo de empréstimo fácil para coletar documentos e dados bancários. O malware já mirou mais de 99 instituições financeiras e órgãos governamentais em Tailândia, Indonésia, Vietnã, Filipinas e Peru.
Trojans bancários para Android abusam do serviço de acessibilidade do sistema para ler telas, interceptar SMS/OTP e autorizar transferências em nome da vítima sem que ela perceba. O material detalha como esses malwares se disfarçam de aplicativos legítimos, quais permissões exploram e por que a defesa baseada apenas em assinaturas conhecidas já não é suficiente. A recomendação central é migrar para detecção comportamental e monitoramento de anomalias de sessão.
Uma investigação da Group-IB mapeou como infostealers populares como RedLine (35 milhões de logs) e Vidar (8,6 milhões de logs) são distribuídos junto com ransomware e RATs em pacotes prontos, formando uma cadeia de fraude que vai do roubo de credenciais à venda de acesso inicial em fóruns da dark web. Os dados coletados incluem senhas de navegador, mais de 30 formatos de carteiras de criptomoedas, dados de cartão e arquivos com nomes como "wallet" e "2fa". O trabalho híbrido, citado no artigo como preferência de 87% dos funcionários pesquisados, amplia o risco ao misturar credenciais corporativas em dispositivos pessoais menos protegidos.
O Godfather é um trojan bancário para Android que sobrepõe telas falsas sobre aplicativos legítimos para capturar credenciais, mirando mais de 400 instituições em 16 países — 215 bancos, 94 carteiras de cripto e 110 corretoras. Ele abusa do serviço de acessibilidade do Android para bloquear tentativas de desinstalação e bombardeia a vítima com notificações a cada 8 segundos até que a permissão seja concedida. Um detalhe da amostra chama atenção: o malware se autodesativa caso detecte idiomas de países pós-soviéticos configurados no aparelho, um indício comum de atribuição a operadores da região.
A Group-IB analisa o MaliBot, um trojan bancário para Android disfarçado de app de mineração de criptomoedas, que rouba credenciais bancárias e de exchanges e intercepta SMS para burlar MFA. O malware, considerado sucessor da família S.O.V.A., se espalha via APKs falsos, clonagem de apps legítimos e campanhas de smishing.
A Group-IB mapeou três grupos distintos de criminosos que se passavam pela operadora postal SingPost para roubar dados pessoais e bancários de vítimas em Singapura, somando dezenas de vítimas confirmadas e prejuízo de centenas de milhares de dólares. As táticas variavam de SMS fraudulentos com cobrança de falsas taxas de entrega até aplicativos Android trojanizados que interceptavam SMS para roubar códigos OTP, e até phishing em tempo real com técnica man-in-the-middle para burlar a autenticação de dois fatores.
A Group-IB identificou três grandes redes de sites falsos que se passam por lojas underground de venda de dados de cartões roubados, cobrando 'taxas de ativação' de vítimas que nunca recebem nada em troca. Uma das redes, batizada SPAGETTI, operava mais de 3 mil domínios e movimentou mais de US$ 1,2 milhão, além de distribuir o infostealer Taurus Project para roubar credenciais bancárias e carteiras cripto das próprias vítimas. É um caso de fraude 'entre criminosos', mas que evidencia técnicas de phishing e distribuição de malware financeiro replicáveis contra qualquer usuário.
Pesquisadores da Group-IB destrincharam o esquema FontPack, que injeta scripts maliciosos em sites legítimos comprometidos para exibir avisos falsos de atualização de Flash Player, navegador ou fontes do sistema. Ao clicar, a vítima baixa o infostealer RedLine, que rouba credenciais salvas, dados de autocomplete e informações bancárias armazenadas no navegador. O artigo também faz a atribuição do kit a um ator identificado como DR.PREDATOR, que o distribuiu gratuitamente em fóruns underground.
A Group-IB descreveu uma campanha que combinou o JS-sniffer FakeSecurity, injetado em lojas online Magento para capturar dados de cartão no checkout, com o infostealer Raccoon, distribuído via documentos maliciosos e páginas de phishing disfarçadas de Adobe Reader. A operação, ativa entre fevereiro e setembro de 2020, tinha como objetivo explícito roubar dados de pagamento e credenciais de usuários em múltiplas frentes simultâneas.
O grupo cibercriminoso Cobalt Gang manteve em 2019 uma campanha ativa de phishing direcionada a funcionários de instituições financeiras ao redor do mundo. A campanha usa e-mails com arquivos IMG contendo atalhos maliciosos que, por meio de PowerShell ofuscado e bypass de UAC, instalam um stager que baixa o Cobalt Strike para dar aos atacantes acesso persistente aos sistemas bancários comprometidos.
A Group-IB identificou uma campanha do sniffer de JavaScript FakeSecurity injetado diretamente no código-fonte de lojas Magento, capturando dados de cartão de pagamento no momento do checkout e enviando-os a servidores controlados por criminosos hospedados em domínios como magento-security[.]org. Lojas como healthcare4all.co.uk, genstattu.com e tokyoflash.com foram identificadas como comprometidas.
A Group-IB publicou uma análise forense de um computador infectado pelo trojan bancário RTM, grupo que enviou mais de 11 mil e-mails maliciosos entre setembro e dezembro de 2018 para distribuir o malware. O trojan usa hijacking de ordem de busca de DLL e se disfarça de TeamViewer para manter acesso remoto persistente e facilitar fraude bancária.
Um grande júri federal da Califórnia indiciou o russo Searzhudin Tamirlanovich Aktulaev, extraditado após ser detido no Chipre, por operar uma campanha de phishing que, entre 2016 e 2017, usou 255 contas falsas para enviar planilhas Excel maliciosas a 80 mil freelancers de uma plataforma de emprego. Os malwares TVRAT e DarkVNC davam controle remoto total sobre as máquinas infectadas via TeamViewer e VNC, coletando credenciais de e-commerce e dados pessoais posteriormente usados para fraude.
O Kronos, trojan bancário surgido em 2014 com funcionalidades similares ao famoso ZeuS, injetava páginas falsas no navegador das vítimas para capturar credenciais de home banking, distribuído por e-mails fraudulentos disfarçados de comunicações fiscais. O caso ganhou notoriedade em 2017 quando Marcus Hutchins — o pesquisador que meses antes havia interrompido a propagação do ransomware WannaCry — foi preso pelo FBI sob acusação de ter criado e vendido o malware entre 2014 e 2015.