Microsoft alerta para malware SilverFox distribuído por sites falsos
A Microsoft identificou uma campanha de ciberataques que utiliza páginas com aparência legítima para distribuir versões adulteradas de programas populares. O golpe tem atingido organizações de diferentes áreas, como saúde, indústria, tecnologia, logística, governo, educação superior e entretenimento.
Os criminosos apresentam os arquivos maliciosos como instaladores de aplicativos conhecidos, incluindo Microsoft Edge, Kaspersky Antivirus, Caliber – ferramenta usada para administrar e-books – e drivers destinados a diferentes modelos de mouse. Embora os sites pareçam confiáveis e os nomes dos programas sejam familiares, os downloads instalam um malware capaz de abrir caminho para invasões mais amplas.
A campanha é atribuída, com provável envolvimento, ao grupo SilverFox. Segundo a Microsoft, usuários de língua chinesa e filiais de empresas multinacionais instaladas na China aparecem entre os alvos mais afetados. A Kaspersky também havia associado anteriormente o grupo a operações voltadas à obtenção de informações sensíveis de organizações.
Como o malware atua após a instalação
Depois de ser executado, o código malicioso realiza alterações importantes no sistema comprometido. Entre as ações observadas estão a desativação do Windows Update e a modificação de configurações do Microsoft Defender, reduzindo a capacidade de proteção e dificultando a aplicação de correções de segurança.
O malware também tenta obter privilégios de SYSTEM, um dos níveis mais altos de permissão no Windows. Com esse acesso, os invasores podem modificar arquivos críticos, criar mecanismos de persistência, instalar outras ameaças e controlar funções essenciais do computador.
Outro comportamento relevante é a tentativa de movimentação lateral por meio do protocolo SMB. Essa técnica permite que os atacantes procurem outros dispositivos conectados à mesma rede e tentem alcançar servidores, estações de trabalho e sistemas compartilhados. Dessa forma, uma única instalação originada em um download falso pode evoluir para um incidente que afeta toda a organização.
Sites legítimos também podem ser usados no golpe
A aparência profissional das páginas é um dos principais elementos da fraude. Os portais podem utilizar logotipos conhecidos, descrições técnicas, avaliações falsas, certificados visuais e nomes de arquivos semelhantes aos distribuídos pelos fabricantes oficiais.
Em alguns casos, o usuário chega ao site por meio de anúncios em mecanismos de busca. Os criminosos exploram termos como “baixar versão atualizada”, “driver oficial” ou “instalador gratuito” para posicionar páginas fraudulentas entre os primeiros resultados. Isso aumenta a chance de o visitante confiar no endereço e executar o arquivo sem verificar sua origem.
A presença de uma interface bem elaborada, por si só, não comprova a segurança de um download. O endereço do site, a assinatura digital do arquivo, o editor responsável e a compatibilidade do programa devem ser conferidos antes da instalação.
Principais riscos para as empresas
O comprometimento inicial pode permitir espionagem, roubo de credenciais, coleta de documentos e instalação de outras ferramentas maliciosas. Em ambientes corporativos, a ameaça também pode servir como etapa preparatória para ataques de ransomware ou para o acesso indevido a sistemas internos.
A desativação de mecanismos de atualização é particularmente perigosa porque mantém vulnerabilidades conhecidas abertas por mais tempo. Já a alteração do Defender pode reduzir alertas e dificultar a identificação da atividade suspeita pelas equipes de segurança.
A movimentação via SMB amplia o impacto potencial. Se a rede não estiver segmentada e as permissões forem excessivas, o invasor poderá explorar uma estação comprometida para alcançar recursos compartilhados e equipamentos que não tiveram contato direto com o arquivo falso.
Recomendações da Microsoft
A Microsoft orienta as organizações a impedir a execução de arquivos que não cumpram critérios de segurança definidos pela empresa. Entre esses critérios podem estar a existência de assinatura digital válida, a origem conhecida e a reputação do arquivo.
Também é recomendado bloquear scripts ofuscados, pois esse recurso é frequentemente usado para esconder comandos maliciosos e contornar ferramentas de detecção. Políticas de controle de aplicativos podem limitar a execução de programas desconhecidos e reduzir significativamente a superfície de ataque.
Outra medida essencial é impedir que funcionários baixem softwares de fontes não confiáveis. Sempre que possível, os programas devem ser obtidos em lojas oficiais, portais corporativos aprovados ou páginas confirmadas pelo fabricante.
Como reduzir a chance de infecção
As empresas devem manter um inventário atualizado dos aplicativos autorizados e utilizar soluções de gerenciamento capazes de controlar instalações. O princípio do menor privilégio também deve ser aplicado: usuários comuns não devem possuir permissões administrativas sem necessidade operacional.
A autenticação multifator ajuda a proteger contas mesmo quando credenciais são roubadas. Entretanto, ela não substitui o controle de aplicações, a segmentação de rede e o monitoramento de endpoints, já que o malware pode continuar ativo em uma máquina comprometida.
É importante ainda manter sistemas operacionais e ferramentas de segurança atualizados. Caso o Windows Update seja desativado inesperadamente, o evento deve ser investigado imediatamente, especialmente se ocorrer após a instalação de um programa obtido na internet.
Sinais de alerta em computadores afetados
Entre os indícios de comprometimento estão falhas incomuns nas atualizações, alterações inesperadas nas configurações do Microsoft Defender, surgimento de novos processos, conexões SMB fora do padrão e arquivos executáveis baixados de domínios desconhecidos.
Equipes de segurança também devem verificar elevações suspeitas de privilégio, tentativas de acesso a diversas máquinas e movimentações de arquivos entre estações. A análise de registros de autenticação e de tráfego de rede pode ajudar a identificar o alcance da infecção.
Se houver suspeita, o equipamento deve ser isolado da rede sem ser desligado imediatamente, quando isso for compatível com o procedimento interno de resposta a incidentes. A preservação de evidências pode ser necessária para descobrir a origem do ataque e avaliar quais dados foram acessados.
Conscientização continua sendo indispensável
Treinamentos periódicos ajudam os funcionários a reconhecer páginas falsas, anúncios maliciosos e instaladores suspeitos. A orientação deve incluir a verificação do domínio, a desconfiança em relação a mensagens urgentes e a proibição de instalar programas sem autorização.
O caso SilverFox demonstra que a engenharia social continua eficaz mesmo quando o usuário acredita estar baixando um aplicativo conhecido. A combinação entre políticas técnicas, educação dos colaboradores, atualizações regulares e monitoramento contínuo é a forma mais eficiente de reduzir o risco de infecção e limitar os danos caso um dispositivo seja comprometido.