Grandoreiro retorna com faturas falsas e técnica de DLL sideloading
O trojan bancário Grandoreiro voltou a operar com uma campanha voltada principalmente contra usuários do Brasil e de outros países da América Latina. A nova ofensiva combina arquivos que simulam faturas com a técnica conhecida como DLL sideloading, estratégia usada para fazer código malicioso ser executado por meio de um aplicativo legítimo.
A atividade foi identificada pela Unidade de Pesquisas de Ameaças da Acronis, ou Acronis Threat Research Unit (TRU), em uma análise divulgada em agosto de 2026. Segundo o levantamento, os criminosos utilizaram o programa legítimo Duplicate Files Finder (DFF) como parte da cadeia de infecção. Como o aplicativo é confiável, a execução do malware pode passar despercebida por ferramentas de segurança menos preparadas.
México concentra a maior parte das detecções
A telemetria coletada ao longo de 30 dias indica que a campanha permanece fortemente concentrada na América Latina. O México apresentou o maior volume de amostras identificadas, mas também foram observados casos em outros países da região e na Espanha.
As detecções fora desse eixo foram menos numerosas, com registros pontuais na Europa e na América do Norte. A distribuição geográfica reforça o histórico do Grandoreiro, conhecido por priorizar alvos latino-americanos, sobretudo clientes de bancos e instituições financeiras.
Como funciona o DLL sideloading
O DLL sideloading explora a maneira como determinados programas carregam bibliotecas de sistema. O invasor coloca uma DLL maliciosa em um diretório onde o aplicativo legítimo consegue encontrá-la antes da biblioteca original. Ao ser iniciado, o programa carrega o arquivo adulterado sem que o usuário perceba necessariamente a alteração.
Nesse cenário, o código do atacante é executado dentro do processo de um software aparentemente confiável. Isso dificulta a análise baseada apenas no nome do executável, na assinatura do programa ou na reputação do aplicativo. A técnica também pode reduzir a eficácia de bloqueios que dependem da identificação direta de arquivos suspeitos.
Faturas falsas servem como isca
A amostra analisada foi distribuída dentro de um arquivo ZIP cujo nome imitava o de uma fatura comercial. No interior do pacote havia documentos em PDF e XML, formatos frequentemente associados a notas fiscais, cobranças e comprovantes.
Os documentos funcionam como elemento de engenharia social. A vítima pode acreditar que recebeu uma cobrança legítima, abrir o arquivo compactado e executar um componente adicional sem compreender que está iniciando o malware. Embora a investigação não tenha confirmado definitivamente o vetor inicial, os padrões tradicionais de disseminação do Grandoreiro apontam, com confiança moderada, para uma campanha de spam ou phishing.
Arquivos relacionados a pagamentos costumam gerar maior taxa de abertura porque exploram urgência, medo de inadimplência e preocupação com interrupção de serviços. Mensagens com frases como “fatura vencida”, “segunda via” ou “documento fiscal” devem ser tratadas com cautela, especialmente quando chegam de remetentes desconhecidos.
Malware tenta identificar ambientes de análise
O Grandoreiro apresenta mecanismos de antianálise para determinar se está sendo executado em um computador real ou em uma máquina utilizada por pesquisadores. Antes de iniciar a comunicação com seus servidores de comando e controle, o loader coleta diversas informações sobre o ambiente.
Entre os dados verificados estão o tempo de atividade do sistema, a quantidade de memória disponível, o número de processadores, o espaço em disco, a resolução da tela e sinais recentes de interação do usuário. Um computador com pouca atividade ou com características muito específicas pode ser interpretado como uma máquina virtual ou laboratório de análise.
A ameaça também procura indícios de VMware e VirtualBox. Além disso, verifica 49 processos associados a depuração, engenharia reversa, captura de tráfego e monitoramento. A lista inclui ferramentas como Wireshark, Process Hacker, Ghidra e Frida.
Outros programas instalados também podem ser consultados, entre eles Google Chrome, Mozilla Firefox, Microsoft Edge, Acrobat Reader, Skype, CCleaner e FileZilla. A combinação dessas verificações permite ao malware decidir se deve permanecer inativo, encerrar a execução ou avançar para a etapa de comunicação com a infraestrutura criminosa.
A campanha ainda emprega verificações de geolocalização e mantém uma lista de países que podem ser bloqueados. Esse recurso ajuda os operadores a limitar a exposição da operação e evitar regiões que não fazem parte do público-alvo.
O que é o Grandoreiro
Detectado desde pelo menos 2016, o Grandoreiro é um trojan bancário desenvolvido em Delphi e associado à origem brasileira. Historicamente, a ameaça tem como foco instituições financeiras e usuários de serviços bancários na América Latina.
O malware pode buscar informações relacionadas ao uso do computador, acompanhar atividades realizadas no navegador e preparar ações contra operações financeiras. A escolha de vítimas varia conforme a campanha, mas o objetivo central permanece ligado ao roubo de dados e à fraude bancária.
Em janeiro de 2024, uma operação conjunta liderada pela Polícia Federal brasileira e coordenada pela INTERPOL conseguiu interromper parte relevante da infraestrutura utilizada pelo grupo. A ação, porém, não eliminou a ameaça. O Grandoreiro continuou ativo, modificando seus métodos de distribuição, seus mecanismos de evasão e sua infraestrutura operacional.
Como reconhecer uma possível infecção
Alguns sinais podem indicar que um computador foi comprometido:
– aparecimento de processos desconhecidos após a abertura de uma fatura;
– execução de programas sem solicitação do usuário;
– lentidão repentina ou aumento incomum do consumo de memória;
– conexões de rede persistentes para endereços desconhecidos;
– alterações nas configurações do navegador;
– bloqueios ou falhas inesperadas em aplicativos de segurança;
– surgimento de arquivos executáveis em pastas temporárias ou de downloads.
Nenhum desses sintomas confirma sozinho a presença do Grandoreiro, mas a combinação de vários indicadores exige investigação imediata.
Medidas de proteção
O primeiro cuidado é não abrir anexos compactados recebidos inesperadamente. Mesmo que o arquivo contenha documentos PDF ou XML, o pacote pode incluir executáveis, atalhos ou bibliotecas maliciosas. A fatura deve ser confirmada por um canal independente, como o telefone oficial ou o portal da empresa responsável pela cobrança.
Também é importante manter o sistema operacional, o navegador e os programas instalados atualizados. Correções de segurança reduzem a possibilidade de exploração de vulnerabilidades que podem complementar a infecção inicial.
Empresas devem adotar filtros de e-mail capazes de inspecionar arquivos compactados, bloquear extensões perigosas e identificar mensagens com sinais de falsificação. A autenticação multifator deve ser habilitada em contas bancárias, e-mails corporativos e serviços administrativos, pois dificulta o acesso mesmo quando uma senha é roubada.
A segmentação de rede ajuda a limitar o impacto de um computador comprometido. Além disso, políticas de menor privilégio impedem que usuários executem tarefas administrativas desnecessárias ou instalem componentes sem autorização.
Por fim, treinamentos periódicos são essenciais. Funcionários precisam saber que uma fatura inesperada, principalmente em formato ZIP, não deve ser aberta automaticamente. A combinação de conscientização, proteção de endpoints, monitoramento de rede e resposta rápida continua sendo a melhor defesa contra campanhas que usam engenharia social e técnicas de execução indireta como o DLL sideloading.