Campanha distribui trojan através de falso software

A Kaspersky identificou uma campanha de distribuição de malware que utiliza mais de 90 sites fraudulentos em dez idiomas, incluindo português, para disseminar ferramentas de acesso remoto e trojans através de versões falsas de aplicações gratuitas para Windows.

Segundo a empresa de cibersegurança, os atacantes recorrem a técnicas de otimização para motores de pesquisa (SEO) e engenharia social para posicionar estes sites entre os primeiros resultados de pesquisa, fazendo-os passar pelas páginas oficiais de programas populares como OBS Studio, Bandicam, DNS Jumper, DS4Windows e Glary Utilities.

A campanha foi descoberta durante a investigação de um incidente detetado pelo serviço Managed Detection and Response (MDR) da Kaspersky. Os investigadores verificaram que as vítimas descarregavam instaladores aparentemente legítimos que, na realidade, instalavam a ferramenta de acesso remoto ScreenConnect e, posteriormente, o AsyncRAT, um trojan de acesso remoto que permite aos atacantes assumir o controlo dos sistemas comprometidos.

De acordo com a Kaspersky, o malware é instalado através da técnica de DLL sideloading, que utiliza um executável legítimo e assinado da Microsoft para carregar uma biblioteca maliciosa. Após a instalação, é criado um serviço do ScreenConnect que estabelece um acesso remoto persistente ao equipamento e aguarda novas instruções dos atacantes.

A empresa refere que esta campanha representa um risco tanto para utilizadores individuais como para organizações. Nos ambientes empresariais, ferramentas de administração remota como o ScreenConnect podem estar autorizadas nas políticas de segurança, o que facilita a sua utilização pelos atacantes sem levantar suspeitas.

Segundo Denis Kulik, Lead SOC Analyst da Kaspersky, o principal objetivo da campanha passa pelo roubo de credenciais e pelo acesso persistente aos sistemas comprometidos. A informação obtida poderá posteriormente ser utilizada para novos ataques ou comercializada em fóruns da dark web.

Os investigadores identificaram um pico no registo dos domínios utilizados nesta operação em fevereiro de 2026. A Kaspersky acrescenta que o mesmo grupo já tinha recorrido, em 2025, a uma estratégia semelhante, utilizando sites falsos para distribuir instaladores maliciosos disfarçados de videojogos.

Para reduzir o risco, a empresa recomenda que as organizações implementem controlos rigorosos sobre a instalação de software, monitorizem a criação de novos serviços de administração remota, filtrem ligações para domínios desconhecidos e reforcem a sensibilização dos colaboradores para ameaças de engenharia social.

A Kaspersky aconselha ainda os utilizadores a descarregar software apenas a partir de fontes oficiais, confirmar a autenticidade dos sites antes de instalar aplicações, utilizar soluções de segurança capazes de detetar malware e ativar autenticação multifatorial (MFA) nas contas mais sensíveis.