Golpe digital criado no Brasil continua evoluindo e tem Portugal como principal alvo, aponta Acronis

São Paulo, 21 de julho de 2026 – A Acronis, líder global em cibersegurança e proteção de dados, identificou uma nova campanha do malware bancário Lampion, um trojan de origem brasileira que continua evoluindo tecnicamente mais de seis anos após sua primeira identificação pública. De acordo com um estudo da Unidade de Pesquisa de Ameaças da Acronis (Threat Research Unit – TRU), a ameaça permanece altamente direcionada a usuários de Portugal, responsáveis por 94,6% de todas as detecções registradas durante o monitoramento mais recente.

Documentado pela primeira vez em 2019, o Lampion pertence à linhagem de malware ChePro e foi desenvolvido para roubar credenciais bancárias e outras informações sensíveis. Embora tenha origem no Brasil, o malware historicamente concentra seus ataques em Portugal e outros países lusófonos, utilizando campanhas de phishing em português e explorando a identidade visual de empresas e serviços locais para aumentar a credibilidade das mensagens maliciosas.

A pesquisa mostra que os operadores do Lampion continuam refinando suas técnicas para dificultar a detecção por soluções tradicionais de segurança. A campanha utiliza uma cadeia de infecção composta por múltiplas etapas, iniciada por um e-mail que simula uma comunicação financeira legítima, geralmente com um suposto comprovante de pagamento anexado.

Após a abertura do arquivo ZIP, a vítima executa um documento HTML altamente ofuscado que reproduz uma página falsa do SAPO Transfer, serviço amplamente conhecido em Portugal. Em segundo plano, o código malicioso inicia o download de novas etapas da infecção, compostas por scripts Visual Basic (VBS) que criam tarefas agendadas, baixam novos componentes e, por fim, instalam o trojan bancário responsável pelo acesso remoto ao equipamento e pelo roubo de informações.

"O Lampion demonstra como grupos motivados por ganhos financeiros continuam investindo na evolução de campanhas altamente direcionadas. Em vez de ampliar indiscriminadamente sua atuação, os operadores apostam em iscas localizadas, marcas conhecidas e técnicas sofisticadas de evasão para aumentar suas chances de sucesso e dificultar a investigação", afirma Santiago Pontiroli, Pesquisador-chefe da Acronis.

Malware utiliza arquivos gigantes para escapar da detecção

Um dos principais diferenciais da campanha é o uso intensivo de técnicas de ofuscação durante toda a cadeia de infecção. Os pesquisadores identificaram arquivos HTML, scripts VBS e até mesmo o componente final do malware artificialmente inflados com grandes volumes de código inútil e informações irrelevantes.

Em um dos casos analisados, um script VBS de aproximadamente 7 MB continha apenas cerca de 22 KB de código funcional, enquanto a DLL final do malware ultrapassava 750 MB, tamanho incomum atribuído ao preenchimento deliberado com dados sem utilidade prática.

Segundo os pesquisadores, essa estratégia torna a análise estática significativamente mais complexa, dificulta a identificação baseada em assinaturas e reduz a visibilidade do comportamento malicioso durante a execução.

Além disso, toda a cadeia de infecção foi fragmentada em diversas etapas independentes, utilizando URLs criptografadas, scripts gerados dinamicamente e mecanismos de geofencing capazes de restringir a entrega dos componentes apenas às vítimas pretendidas.

Portugal concentra quase todas as detecções

Os dados de telemetria da Acronis mostram que 94,6% das detecções ocorreram em Portugal, enquanto Espanha respondeu por 4,3% e Reino Unido por apenas 1,1%.

Segundo a TRU, esse forte viés geográfico reforça que a campanha é altamente direcionada e utiliza linguagem, identidade visual e serviços conhecidos pelos usuários portugueses para aumentar a taxa de sucesso dos ataques.

Como organizações podem se proteger

A Acronis recomenda que empresas reforcem programas de conscientização contra phishing e adotem soluções de detecção e resposta capazes de identificar comportamentos suspeitos, além de:

• Treinar colaboradores para reconhecer e-mails fraudulentos;
• Bloquear a execução de scripts suspeitos;
• Monitorar a criação incomum de tarefas agendadas;
• Detectar atividades anormais envolvendo VBScript e outros interpretadores de script;
• Implementar soluções de EDR/XDR para identificar e interromper cadeias de ataque em múltiplas etapas.

O estudo completo da TRU também apresenta indicadores de comprometimento (IoCs), mapeamento das técnicas utilizadas segundo o framework MITRE ATT&CK e recomendações adicionais para equipes de segurança realizarem atividades de hunting e resposta a incidentes. 

 

Sobre a Acronis
A Acronis é uma empresa global de proteção cibernética que fornece cibersegurança, proteção de dados e gerenciamento de endpoints nativamente integrados para provedores de serviços gerenciados (MSPs), pequenas e médias empresas (PMEs) e departamentos de TI corporativos. As soluções da Acronis são altamente eficientes e projetadas para identificar, prevenir, detectar, responder, remediar e recuperar-se de ameaças cibernéticas modernas com o mínimo de tempo de inatividade, garantindo a integridade dos dados e a continuidade dos negócios. A Acronis oferece a solução de segurança mais abrangente do mercado para MSPs, graças à sua capacidade única de atender às necessidades de ambientes de TI diversos e distribuídos.

Fundada em Singapura em 2003 e com sede na Suíça, a Acronis possui 15 escritórios em todo o mundo e colaboradores em mais de 50 países. O Acronis Cyber Protect está disponível em 26 idiomas, em 150 países, e é utilizado por mais de 21.000 provedores de serviços para proteger mais de 750.000 empresas. Saiba mais em www.acronis.com.

Notícia distribuída pela saladanoticia.com.br. A Plataforma e Veículo não são responsáveis pelo conteúdo publicado, estes são assumidos pelo Autor(a): PATRICIA SERENO ZYLBERMAN
lucas.martos@sherlockcomms.com