O trojan bancário Grandoreiro, de origem brasileira, voltou a ser identificado em uma campanha que utiliza arquivos com aparência de fatura para tentar infectar computadores e roubar dados bancários.
A ameaça, conhecida desde 2016, foi encontrada pela Acronis em uma nova ofensiva concentrada principalmente no México, mas com registros em outros países da América Latina.
O malware segue ativo mesmo após uma operação da Polícia Federal, coordenada pela Interpol, ter interrompido parte de sua infraestrutura em 2024.
🔎 Malware, spyware ou trojan? Veja quais ameaças podem roubar seu Pix e dados
🔔 Canal do TechTudo no WhatsApp: acompanhe as principais notícias, tutoriais e reviews
🔎 Golpe com app falso do INSS promete reembolso; saiba como se proteger
Golpe da falsa fatura: malware brasileiro volta a roubar dados bancários
Reprodução/Freepik
📲 Comparador de celulares do TechTudo: como usar a ferramenta e economizar
📝 Qual é o melhor antivírus gratuito? Veja no fórum do TechTudo
Índice
Malware brasileiro volta a atacar com falsa fatura
Como funciona o golpe da falsa fatura
O que o malware pode roubar
Como identificar uma falsa fatura
Como se proteger do malware
Por que o Grandoreiro continua sendo uma ameaça
1.
Malware brasileiro volta a atacar com falsa fatura
Identificado desde pelo menos 2016, o Grandoreiro surgiu no Brasil e tem como alvo instituições financeiras e seus clientes, principalmente em países da América Latina.
Historicamente, o trojan bancário é distribuído por campanhas de phishing e engenharia social.
Uma nova investigação da Unidade de Pesquisas de Ameaças da Acronis (TRU) identificou uma campanha do malware em maio de 2026.
A análise dos últimos 30 dias mostrou que a atividade está concentrada na América Latina, principalmente no México.
Também houve detecções em outros países da região e na Espanha, além de registros em menor número na Europa e na América do Norte.
Em janeiro de 2024, uma operação conjunta liderada pela Polícia Federal e coordenada pela Interpol interrompeu parte significativa da infraestrutura do Grandoreiro.
A ação teve participação de autoridades espanholas e empresas privadas.
Malware está ativo desde 2016
Marcos Vinícius Pereira / TechTudo / imagem gerada pelo nano banana
Cibersegurança: 6 empresas que já tiveram seus dados vazados
2.
Como funciona o golpe da falsa fatura
A amostra analisada pela Acronis foi encontrada em um arquivo ZIP com nome semelhante ao de uma fatura.
O pacote também continha documentos em PDF e XML utilizados como isca para simular uma cobrança.
A execução do conteúdo malicioso pode iniciar a infecção do computador.
Os pesquisadores não conseguiram confirmar como o arquivo chegou inicialmente às vítimas, mas o histórico de distribuição do Grandoreiro e as características da amostra indicam, com confiança moderada, uma possível campanha de spam.
Veja como o golpe funciona
Reprodução/Acronis
'Tinder' falso: réplica de app de namoro esconde malware que rouba dados
3.
O que o malware pode roubar
O principal objetivo do Grandoreiro continua sendo a fraude financeira.
Segundo os pesquisadores da Acronis, o malware pode roubar credenciais bancárias e outras informações sensíveis das vítimas.
Ao executar o arquivo acreditando se tratar de uma cobrança legítima, a vítima pode infectar o computador e deixar informações financeiras expostas ao malware.
Malware visa dados bancários sensíveis dos usuários
Pexels/Tima Miroshnichenko
Trojan bancário usa INSS como isca para roubar dinheiro de vítimas
4.
Como identificar uma falsa fatura
Antes de abrir uma fatura recebida por e-mail ou mensagem, confira se a cobrança corresponde a uma compra, assinatura ou serviço realmente contratado.
Arquivos inesperados, principalmente em formato ZIP ou enviados como anexos que o usuário não solicitou, merecem atenção.
Confira ainda o endereço completo do remetente e se o domínio pertence à empresa que supostamente enviou a cobrança.
Mensagens fraudulentas podem usar nomes e endereços semelhantes aos verdadeiros para se passar por serviços conhecidos.
Se houver dúvida, consulte a cobrança diretamente no site ou aplicativo oficial da empresa, sem abrir links ou arquivos enviados na mensagem.
Textos que pressionam o usuário a pagar rapidamente ou ameaçam com bloqueios e outras consequências também podem indicar uma tentativa de phishing.
Veja como identificar uma fatura falsa
Mariana Saguias/TechTudo
App falso promete ressarcimento do FGC; saiba se proteger
5.
Como se proteger do malware
O primeiro passo é nunca abrir nem executar arquivos inesperados ou enviados por remetentes desconhecidos.
Além disso, sistema operacional, navegadores e ferramentas de segurança também devem estar atualizados.
A Acronis recomenda o uso de soluções de segurança atualizadas e orienta empresas a reforçar a conscientização dos funcionários sobre mensagens de phishing.
Organizações também podem adotar ferramentas de Endpoint Detection and Response (EDR) para identificar comportamentos suspeitos nos dispositivos.
Segundo a empresa, a campanha analisada foi detectada e bloqueada pelo Acronis EDR/XDR.
Caso um arquivo suspeito já tenha sido executado, evite usar o computador para operações bancárias e outros acessos sensíveis até que o dispositivo seja analisado.
O usuário deve buscar suporte especializado para verificar uma possível infecção antes de voltar a utilizar serviços financeiros.
Nunca abra ou execute arquivos desconhecidos
Freestocks/Unsplash
Vírus bancário ataca celulares e sequestra Pix em tempo real; saiba se proteger
6.
Por que o Grandoreiro continua sendo uma ameaça
Os operadores do Grandoreiro adotaram técnicas para dificultar a detecção do malware.
Uma delas é o chamado DLL sideloading, no qual um programa legítimo é levado a carregar uma biblioteca DLL maliciosa.
Na campanha analisada, os criminosos exploram o Duplicate Files Finder para executar o código no processo de um aplicativo confiável.
Antes de se comunicar com sua infraestrutura de comando e controle, o malware verifica tempo de atividade, memória, número de processadores, espaço em disco, resolução da tela e atividade recente do usuário para tentar identificar ambientes usados na análise de ameaças.
A análise também identificou verificações para detectar ambientes virtuais, como VMware e VirtualBox, além de 49 processos relacionados a ferramentas de depuração, engenharia reversa, análise de tráfego e monitoramento.
O Grandoreiro checa ainda a localização do dispositivo e bloqueia a execução em determinados países.
Se encontrar indícios de que está sendo analisado, o malware pode interromper sua atividade.
Entenda por que o Grandoreiro continua sendo uma ameaça
Divulgação/Freepik (master1305)
Com informações de Acronis
Mais do TechTudo
🎥 Como acessar o TELA BRASIL? Veja o passo a passo completo!
Como acessar o TELA BRASIL? Veja o passo a passo completo!