Uma nova pesquisa da Kaspersky Digital Footprint Intelligence (DFI) revelou que mais de um terço das infecções por infostealers começa quando usuários executam arquivos diretamente a partir de pastas temporárias. O dado mostra que o comportamento do usuário continua sendo um fator central no roubo de credenciais. Apenas 32% dos ataques com infostealers utilizam técnicas de injeção de processos e ataques living-off-the-land, comportamento típico de famílias de malware mais avançadas. Veja como se proteger.
Os pesquisadores da Kaspersky DFI analisaram 5 milhões de arquivos de registro (logs) de infostealers encontrados na dark web em 2025. Esses registros, que contêm dados roubados de dispositivos comprometidos, como credenciais de contas, cookies de navegador e metadados do sistema, também indicaram onde os arquivos maliciosos estavam armazenados originalmente nas máquinas infectadas.
O local mais comum foi o diretório temporário do Windows, C:\Users\AppData\Local\Temp\, responsável por aproximadamente 35% de todos os casos observados. Essa pasta é normalmente usada para armazenar arquivos baixados da internet antes que o usuário escolha onde salvá-los. Uma parcela significativa das infecções ocorre quando os usuários executam diretamente os arquivos baixados, sem exigir dos cibercriminosos técnicas sofisticadas para escapar da detecção.
Na sequência, com cerca de 32% dos casos, aparece o caminho C:\Windows\Microsoft.NET\Framework\. Esse caminho está associado a técnicas de injeção de processos e ataques living-off-the-land, nas quais o malware faz uso indevido de processos legítimos do sistema para evitar a detecção. Esse comportamento é observado com frequência em famílias de infostealers mais avançadas, incluindo o Lumma.
A análise indica que as infecções frequentemente estão ligadas a dois comportamentos de risco por parte dos usuários: baixar software de fontes não confiáveis e tentar ativar programas de forma ilegal. Em muitos casos, as vítimas seguem instruções fornecidas pelos cibercriminosos e desativam o software de segurança antes de executar arquivos maliciosos. Segundo a pesquisa, muitos desses arquivos estavam disfarçados como instaladores de software legítimo, ativadores ou modificações de jogos (mods). Embora os mods de jogos continuem sendo uma isca comum, os atacantes adaptam com frequência as mesmas técnicas para distribuir praticamente qualquer tipo de software.
“Os infostealers ganharam força em 2025, com alta de 59% nas infecções em comparação com o ano anterior. Nossa análise mostra que o comportamento do usuário continua sendo um fator determinante em muitos desses comprometimentos. O volume de infostealers executados a partir de pastas temporárias de download sugere que os usuários frequentemente os iniciam imediatamente após o download. Em muitos casos, os cibercriminosos não precisam de técnicas sofisticadas: basta convencer o usuário a executar um arquivo”, afirma João Brandão, analista do time Digital Footprint Intelligence da Kaspersky.
Além dos padrões comportamentais, também foram observados padrões distintos de nomenclatura entre diferentes famílias de infostealers. O Lumma tende a usar nomes genéricos de instaladores, ofuscação em .NET e injeção de processos. O Vidar, por sua vez, aparece normalmente como variantes de Bootstrapper.exe, dependentes de loaders convencionais. Já o Stealc adota uma estratégia mista, utilizando tanto nomes descritivos, como Licence_Version_Loader.exe, quanto nomes de arquivos gerados aleatoriamente. O RisePro, por outro lado, se destaca por convenções recorrentes, como MPGPH.exe e MSIUpdater.exe.
Para reduzir o risco de infecções por infostealers, a Kaspersky recomenda que as empresas adotem as seguintes medidas:
- Adotar um serviço abrangente de proteção contra riscos digitais, capaz de monitorar os ativos digitais das organizações e detectar ameaças na web aberta, deep web ou dark web
- Oferecer às equipes de InfoSec ampla visibilidade sobre as ciberameaças direcionadas à organização.
Para se manterem seguros, as recomendações aos usuários são:
- Baixar software apenas de fontes oficiais e confiáveis, evitando programas piratas, cracks, ativadores e instaladores não oficiais.
- Utilizar uma solução de segurança robusta em todos os computadores e dispositivos móveis
- Gerenciar dados sensíveis de forma segura: evitar armazenar senhas ou frases de recuperação na galeria de fotos ou em aplicativos de notas e, em vez disso, utilizar um gerenciador de senhas dedicado e confiável
- Nunca desativar o antivírus nem ferramentas de segurança para instalar software, além de ter cautela ao baixar mods de jogos, cheats ou utilitários de terceiros.
- Manter sistemas operacionais e aplicativos atualizados, utilizar senhas fortes e únicas e habilitar a autenticação multifator sempre que possível.
