Campanha do malware Lampion mira Portugal com quase todos os ataques
A mais recente onda de ataques do malware bancário Lampion mostra um foco quase exclusivo em Portugal: 94,6% das infecções registradas atingem vítimas portuguesas, de acordo com análise da Unidade de Pesquisa de Ameaças da Acronis (TRU). A Espanha aparece muito atrás, com apenas 4,3% das detecções, seguida pelo Reino Unido, com 1,1%.
Embora tenha sido criado por criminosos brasileiros, o Lampion mantém há anos uma estratégia bem definida: explorar o idioma português e a familiaridade com serviços locais para enganar usuários. O trojan descende da família ChePro e foi desenvolvido com um objetivo claro: roubar credenciais bancárias, dados de acesso a serviços financeiros e outras informações sensíveis que possam ser monetizadas pelos atacantes.
O vetor inicial de compromisso continua sendo o phishing. A campanha começa com um e-mail que aparenta ser uma comunicação financeira legítima, muitas vezes relacionada a pagamentos ou recibos. A mensagem costuma trazer um suposto comprovante anexado em formato ZIP, construído para despertar urgência ou curiosidade na vítima, que tende a abrir o arquivo sem maiores questionamentos.
Após descompactar o conteúdo, o usuário se depara com um documento HTML ofuscado. Ao ser executado, esse arquivo carrega uma página fraudulenta que imita a interface do serviço SAPO Transfer, bastante conhecido em Portugal para o compartilhamento de arquivos. A semelhança visual é pensada para reduzir a desconfiança e fazer com que o usuário prossiga com as ações que, na verdade, vão acionar o código malicioso.
Enquanto a vítima acredita estar apenas visualizando ou descarregando um documento, em segundo plano o HTML malicioso dispara o download de scripts em Visual Basic Script (VBS). Esses scripts são responsáveis por criar tarefas agendadas no sistema, baixar novos componentes e, por fim, instalar o trojan bancário que vai monitorar a máquina, capturar credenciais e enviar os dados roubados à infraestrutura dos criminosos.
Santiago Pontiroli, que lidera a Unidade de Pesquisa de Ameaças da Acronis, destaca que os operadores do Lampion não dependem apenas de engenharia social; eles combinam iscas altamente localizadas com um conjunto de técnicas avançadas de evasão, justamente para dificultar a detecção por antivírus e outras soluções de segurança tradicionais.
Uma das táticas mais marcantes é o “inchaço” deliberado dos arquivos usados na infecção. Pesquisadores encontraram documentos HTML, scripts VBS e até o componente final do malware com tamanhos anormais, inflados com grandes blocos de código inútil. Em um dos casos analisados, um script VBS de cerca de 7 MB continha só 22 KB de conteúdo realmente funcional. Já a DLL entregando o trojan chegava a ultrapassar 750 MB, resultado do preenchimento intencional com dados sem qualquer função prática.
Essa técnica de inflar arquivos visa explorar limitações de muitos mecanismos de segurança, que ignoram ou não analisam profundamente arquivos extremamente grandes por questões de desempenho. Ao forçar tamanhos fora do padrão, os criminosos aumentam a chance de que o código malicioso passe despercebido nas etapas automáticas de análise.
Além disso, a cadeia de infecção foi projetada em múltiplas etapas semifragmentadas. As URLs usadas para baixar os componentes estão criptografadas, e os scripts são gerados de forma dinâmica, o que complica a extração de padrões estáticos pelos analistas e dificulta o bloqueio com base apenas em assinaturas. Em muitas situações, cada vítima recebe um conjunto ligeiramente diferente de scripts e caminhos, o que reduz a eficácia de listas de bloqueio simples.
Outro ponto relevante é o uso de geofencing: os servidores controlados pelos criminosos só entregam as cargas maliciosas a vítimas localizadas em regiões específicas, com clara priorização de Portugal. Isso significa que, mesmo que um pesquisador em outro país tente reproduzir o ataque, pode não receber todos os componentes, o que atrapalha a análise e atrasa a atualização de defesas automatizadas.
Diante desse cenário, as recomendações de proteção vão além da simples instalação de um antivírus. A Acronis reforça a necessidade de programas contínuos de conscientização sobre phishing, principalmente em empresas que lidam diariamente com e-mails financeiros, notas fiscais ou comprovantes de pagamento. Treinar colaboradores para desconfiar de anexos ZIP inesperados, verificar remetentes e confirmar transações por canais alternativos reduz significativamente o sucesso desse tipo de campanha.
Outra medida essencial é restringir a execução de scripts, como VBS e outros formatos pouco utilizados no dia a dia. Ambientes corporativos podem adotar políticas de bloqueio ou de execução apenas assinada digitalmente, diminuindo o espaço de atuação de malwares que dependem dessas linguagens para se instalar e se manter persistentes. Monitorar e auditar regularmente a criação de novas tarefas agendadas também é uma boa prática, já que muitas famílias de malware usam esse mecanismo para garantir execução automática após reinicializações.
Soluções modernas de EDR (Endpoint Detection and Response) e XDR (Extended Detection and Response) são apontadas como fundamentais para lidar com cadeias de ataque em múltiplas etapas, como a do Lampion. Em vez de apenas buscar arquivos suspeitos, essas plataformas analisam o comportamento geral do endpoint e da rede, identificando sequências estranhas – por exemplo, um HTML abrindo um script VBS, que por sua vez cria tarefas agendadas e faz downloads não usuais.
O estudo técnico da Unidade de Pesquisa de Ameaças também apresenta um conjunto de indicadores de comprometimento, além de mapear as técnicas utilizadas pelo Lampion segundo o framework MITRE ATT&CK. Esse mapeamento ajuda equipes de segurança a entenderem em quais fases do ciclo de ataque (reconhecimento, execução, persistência, exfiltração de dados etc.) o trojan atua, facilitando a criação de regras de detecção e resposta mais precisas.
Para usuários domésticos em Portugal, a principal linha de defesa começa pela postura diante do e-mail. Desconfiar de mensagens que pedem ação imediata, prometem dinheiro, cobram dívidas inesperadas ou solicitam clique em anexos é fundamental. É recomendável sempre abrir portais bancários digitando o endereço diretamente no navegador, em vez de usar links recebidos por e-mail. Manter o sistema operacional e os navegadores atualizados, bem como usar soluções de segurança confiáveis, também reduz a superfície de ataque.
No ambiente corporativo, vale reforçar controles de e-mail, como filtros avançados de spam e soluções de sandboxing capazes de abrir anexos em ambientes isolados antes de entregá-los ao usuário final. Políticas de “mínimo privilégio” devem ser aplicadas para evitar que um único usuário comprometido consiga instalar componentes maliciosos com direitos administrativos amplos na rede da empresa.
Outro ponto muitas vezes negligenciado é o monitoramento de logs. Análises periódicas em busca de padrões incomuns – como grandes volumes de dados saindo para endereços desconhecidos, conexões repetidas para domínios pouco confiáveis ou picos de uso de recursos em horários atípicos – podem indicar que um trojan bancário está ativo, mesmo que ele tenha conseguido contornar as primeiras camadas de defesa.
Organizações portuguesas do setor financeiro, varejo online, telecomunicações e serviços digitais em geral devem assumir que fazem parte da superfície preferencial desse tipo de campanha. Investir em testes de intrusão, simulações de phishing e exercícios de resposta a incidentes ajuda a avaliar o nível real de preparo da equipe e a corrigir brechas antes que sejam exploradas.
A especialização geográfica do Lampion mostra uma tendência mais ampla no cenário de ameaças: criminosos cada vez mais segmentam suas campanhas por idioma, país e até por banco ou serviço-alvo. Essa personalização aumenta as taxas de sucesso das fraudes, já que as vítimas veem mensagens, marcas e termos com os quais estão habituadas. Por isso, estratégias de cibersegurança também precisam ser adaptadas à realidade local, considerando cultura, hábitos e serviços mais usados em cada região.
Enquanto o Lampion continuar financeiramente vantajoso para seus operadores, é provável que novas variantes e técnicas de ofuscação surjam. A combinação de educação do usuário, boas práticas de configuração e monitoramento, uso de tecnologias modernas de detecção e resposta, além de colaboração entre equipes de segurança, é o caminho mais sólido para reduzir o impacto dessa e de outras campanhas de malware direcionadas a Portugal.