Pesquisadores identificaram uma tática incomum adotada por cibercriminosos para infectar computadores com o sistema operacional Windows. O método utiliza mensagens automáticas de servidores FTP (sigla em inglês para Protocolo de Transferência de Arquivos, usado para enviar e receber documentos em redes), saudações ou avisos de conexão, para repassar comandos que instalam dois novos vírus de controle remoto: o E4del e o PINHOLE. A investida começou a operar no início de julho de 2026 e manteve estruturas ativas em agosto.
A movimentação foi detectada inicialmente pelo grupo independente MalwareHunterTeam, que analisou um arquivo suspeito identificado no México. No X, o coletivo identificou a singularidade da técnica ao observar o atalho malicioso. A SOCRadar também identificou a tática em relatório.
“O próximo estágio será a mensagem de saudação do servidor FTP interpretada como um comando. Esta não é uma técnica comum hoje em dia, certo?”, escreveu.
A equipe de inteligência contra ameaças da empresa SOCRadar logo aprofundou as investigações. Por meio do relatório técnico publicado na sexta-feira (21), os pesquisadores confirmaram que os criminosos transformaram essa resposta inicial do servidor em um ponto de apoio para direcionar ordens a máquinas invadidas sem levantar suspeitas imediatas de programas de segurança.
Segundo a equipe da SOCRadar, a estratégia representa um caminho alternativo no cenário digital: “Embora os agentes de ameaça costumem utilizar serviços legítimos da web, como X, GitHub ou YouTube, para se camuflar no tráfego intenso e esperado da rede, as mensagens de servidores FTP representam uma alternativa inédita”.
A empresa destacou ainda que, apesar da novidade, a conexão direta com esses servidores pode chamar a atenção de equipes de tecnologia, pois se trata de um protocolo menos comum no tráfego diário da maioria das empresas.
Disfarce no Discord e uso do Pinterest
O golpe tem início com o envio de e-mails falsos que contêm arquivos compactados, muitas vezes disfarçados como comprovantes de pagamento em espanhol. Ao abrir o atalho anexado, o sistema executa instruções que buscam a mensagem de boas-vindas do servidor remoto. Esse texto deveria apenas identificar a máquina conectada, porém contém comandos ocultos que acionam a instalação das ameaças.
A investigação constatou que o esquema distribui dois tipos de vírus espiões de acesso remoto: o E4del e o PINHOLE.
O primeiro, o E4del, disfarça-se sob a assinatura digital do aplicativo Discord para evitar alertas e roda silenciosamente em segundo plano, com capacidade de gravar telas, transmitir o monitor ao vivo e executar ordens no sistema.
O outro invasor, denominado PINHOLE, adota rotinas complexas para dificultar o trabalho de antivírus. O programa divide os códigos em camadas protegidas na memória do computador e busca endereços de controle escondidos em publicações de plataformas populares, como painéis do Pinterest e questionários do SurveyMonkey. O recurso permite que os invasores enviem ordens a partir de páginas comuns da internet, o que dificulta o bloqueio das conexões.
O PINHOLE dispõe de 14 funções diferentes, que incluem busca e roubo de arquivos, desligamento de tarefas do sistema, registros visuais do monitor e a execução de ferramentas desenvolvidas para capturar credenciais e senhas salvas em navegadores de internet. Registros analisados pelos especialistas indicavam apenas 11 execuções da ameaça no momento do estudo, movimento que os analistas acreditam ser apenas a fase inicial da campanha criminosa.
De acordo com a SOCRadar, a técnica “é altamente versátil e facilmente adaptável para campanhas de engenharia social do tipo ClickFix”, nas quais os usuários são induzidos a colar e executar comandos no sistema.
Para evitar invasões, eles recomendam que organizações restrinjam a execução de programas não autorizados, monitorem o tráfego de protocolos de rede e redobrem o cuidado com arquivos anexados recebidos por mensagens eletrônicas.
Por falar em segurança no universo digital, mulheres usam IA para filtrar agressores antes de sair de casa. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.