A Acronis identificou uma nova campanha do malware bancário Lampion, um trojan de origem brasileira que continua evoluindo tecnicamente mais de seis anos após sua primeira identificação pública. De acordo com um estudo da Unidade de Pesquisa de Ameaças da Acronis (Threat Research Unit – TRU), a ameaça permanece altamente direcionada a usuários de Portugal, responsáveis por 94,6% de todas as detecções registradas durante o monitoramento mais recente.
Documentado pela primeira vez em 2019, o Lampion pertence à linhagem de malware ChePro e foi desenvolvido para roubar credenciais bancárias e outras informações sensíveis. Embora tenha origem no Brasil, o malware historicamente concentra seus ataques em Portugal e outros países lusófonos, utilizando campanhas de phishing em português e explorando a identidade visual de empresas e serviços locais para aumentar a credibilidade das mensagens maliciosas.
A pesquisa mostra que os operadores do Lampion continuam refinando suas técnicas para dificultar a detecção por soluções tradicionais de segurança. A campanha utiliza uma cadeia de infecção composta por múltiplas etapas, iniciada por um e-mail que simula uma comunicação financeira legítima, geralmente com um suposto comprovante de pagamento anexado.
Após a abertura do arquivo ZIP, a vítima executa um documento HTML altamente ofuscado que reproduz uma página falsa do SAPO Transfer, serviço amplamente conhecido em Portugal. Em segundo plano, o código malicioso inicia o download de novas etapas da infecção, compostas por scripts Visual Basic (VBS) que criam tarefas agendadas, baixam novos componentes e, por fim, instalam o trojan bancário responsável pelo acesso remoto ao equipamento e pelo roubo de informações.
“O Lampion demonstra como grupos motivados por ganhos financeiros continuam investindo na evolução de campanhas altamente direcionadas. Em vez de ampliar indiscriminadamente sua atuação, os operadores apostam em iscas localizadas, marcas conhecidas e técnicas sofisticadas de evasão para aumentar suas chances de sucesso e dificultar a investigação”, afirma Santiago Pontiroli, líder da Unidade de Pesquisa de Ameaças da Acronis.
Malware utiliza arquivos gigantes para escapar da detecção
Um dos principais diferenciais da campanha é o uso intensivo de técnicas de ofuscação durante toda a cadeia de infecção. Os pesquisadores identificaram arquivos HTML, scripts VBS e até mesmo o componente final do malware artificialmente inflados com grandes volumes de código inútil e informações irrelevantes.
Em um dos casos analisados, um script VBS de aproximadamente 7 MB continha apenas cerca de 22 KB de código funcional, enquanto a DLL final do malware ultrapassava 750 MB, tamanho incomum atribuído ao preenchimento deliberado com dados sem utilidade prática.
Segundo os pesquisadores, essa estratégia torna a análise estática significativamente mais complexa, dificulta a identificação baseada em assinaturas e reduz a visibilidade do comportamento malicioso durante a execução.
Além disso, toda a cadeia de infecção foi fragmentada em diversas etapas independentes, utilizando URLs criptografadas, scripts gerados dinamicamente e mecanismos de geofencing capazes de restringir a entrega dos componentes apenas às vítimas pretendidas.
Portugal concentra quase todas as detecções
Os dados de telemetria da Acronis mostram que 94,6% das detecções ocorreram em Portugal, enquanto Espanha respondeu por 4,3% e Reino Unido por apenas 1,1%.
Segundo a TRU, esse forte viés geográfico reforça que a campanha é altamente direcionada e utiliza linguagem, identidade visual e serviços conhecidos pelos usuários portugueses para aumentar a taxa de sucesso dos ataques.
Como organizações podem se proteger
A Acronis recomenda que empresas reforcem programas de conscientização contra phishing e adotem soluções de detecção e resposta capazes de identificar comportamentos suspeitos, além de:
- Treinar colaboradores para reconhecer e-mails fraudulentos;
- Bloquear a execução de scripts suspeitos;
- Monitorar a criação incomum de tarefas agendadas;
- Detectar atividades anormais envolvendo VBScript e outros interpretadores de script;
- Implementar soluções de EDR/XDR para identificar e interromper cadeias de ataque em múltiplas etapas.
O estudo completo da TRU também apresenta indicadores de comprometimento (IoCs), mapeamento das técnicas utilizadas segundo o framework MITRE ATT&CK e recomendações adicionais para equipes de segurança realizarem atividades de hunting e resposta a incidentes.
