Campanha do malware Lampion tem 95% dos alvos em Portugal
Apesar de ter sido criado no Brasil, o malware bancário Lampion hoje atua quase inteiramente fora do país de origem. De acordo com pesquisa recente da Unidade de Pesquisa de Ameaças da Acronis (TRU), 94,6% das infecções detectadas ocorrem em Portugal, enquanto apenas 4,3% atingem usuários na Espanha e 1,1% no Reino Unido. Ou seja, praticamente toda a operação do Lampion está voltada ao público português, em especial clientes de serviços financeiros.
O Lampion é um trojan bancário derivado da família ChePro, desenvolvido com o propósito específico de capturar credenciais de acesso a bancos e dados sensíveis inseridos em sites de pagamento, portais corporativos e sistemas financeiros. Embora a origem seja brasileira, os operadores há anos direcionam as campanhas para países de língua portuguesa, aproveitando o idioma, referências culturais locais e a identidade visual de serviços amplamente conhecidos nesses mercados.
O ataque começa com uma mensagem de e-mail cuidadosamente preparada para parecer comunicação financeira legítima. O conteúdo geralmente simula o envio de um comprovante de pagamento ou fatura, apresentando-se como um contato de empresa, banco ou serviço de cobrança. O arquivo suspeito vem em anexo, compactado em formato ZIP, o que ajuda a superar algumas barreiras de segurança mais simples e a reduzir a desconfiança do usuário.
Ao extrair o ZIP, a vítima encontra um documento HTML com aparência inofensiva. Esse arquivo está ofuscado, ou seja, o código foi propositalmente embaralhado para dificultar a análise por ferramentas de segurança e especialistas. Quando aberto no navegador, o HTML reproduz de forma convincente uma página falsa do SAPO Transfer, um serviço de transferência de arquivos muito popular em Portugal. A escolha desse serviço não é aleatória: ele é amplamente reconhecido, o que aumenta a confiança do usuário e reduz a suspeita de fraude.
Enquanto o usuário acredita estar visualizando um comprovante ou baixando um documento legítimo, em segundo plano o código malicioso embutido no HTML inicia o verdadeiro ataque. A página fraudulenta faz o download de scripts em Visual Basic (VBS), que por sua vez são responsáveis por sustentar a continuidade da infecção. Esses scripts criam tarefas agendadas no sistema operacional, baixam outros componentes adicionais e, finalmente, instalam o trojan bancário que passa a monitorar a máquina.
Segundo Santiago Pontiroli, líder da Unidade de Pesquisa de Ameaças da Acronis, os operadores do Lampion combinam iscas altamente localizadas – como o uso do português de Portugal e de marcas conhecidas no país – com técnicas avançadas de evasão. Essa soma aumenta significativamente a taxa de sucesso da campanha, tornando o malware mais difícil de detectar por soluções tradicionais de antivírus e de bloquear apenas com filtros de e-mail.
Uma das características mais marcantes identificadas pelos pesquisadores é o uso de arquivos artificialmente inflados. Tanto os documentos HTML iniciais quanto os scripts VBS e a DLL final do malware são preenchidos com grandes quantidades de código que não têm função prática. Em um caso analisado, um script VBS com cerca de 7 MB continha somente 22 KB de código realmente funcional. Da mesma forma, a DLL final ultrapassava 750 MB, tamanho provocado por dados de preenchimento sem utilidade.
Essa estratégia de “inchar” os arquivos serve principalmente para enganar mecanismos de análise estática e filtros de segurança que impõem limites de tamanho aos arquivos inspecionados. Muitos sistemas de proteção ignoram ou tratam de forma simplificada arquivos muito grandes, o que dá ao Lampion mais chances de escapar da detecção. Além disso, o tamanho anormal pode dificultar a análise manual, já que abre, copia ou transfere esses arquivos torna-se mais demorado e pesado para a infraestrutura dos analistas.
Outro ponto relevante é a fragmentação da cadeia de infecção em diversas etapas independentes. Em vez de entregar o malware completo de uma só vez, os operadores dividem o ataque em pequenos módulos: primeiro o HTML, depois o VBS, em seguida outros scripts e, por fim, o payload bancário. Cada etapa depende da anterior, mas traz elementos próprios, como URLs criptografadas e scripts gerados dinamicamente. Isso complica o rastreamento e a correlação de eventos pelas ferramentas de segurança, que muitas vezes veem apenas partes isoladas do ataque.
O uso de geofencing também se destaca nessa campanha. Os servidores controlados pelos criminosos verificam a localização do IP da vítima antes de entregar os próximos componentes da infecção. Caso o acesso não venha da região desejada – em especial Portugal -, o servidor pode simplesmente não fornecer o payload final ou retornar conteúdo inofensivo. Com isso, os atacantes reduzem o risco de exposição dos arquivos maliciosos a analistas e a sistemas de monitoramento que estejam fora da área-alvo.
Para as empresas e usuários, esse cenário exige uma mudança de postura em relação à segurança. A Acronis destaca que programas consistentes de conscientização contra phishing são fundamentais. Funcionários precisam ser treinados para reconhecer sinais de e-mails suspeitos, desconfiar de anexos inesperados, mesmo que pareçam documentos de pagamento, e verificar diretamente com o remetente por outros canais antes de abrir conteúdos sensíveis.
Outro ponto crítico é o bloqueio ou, ao menos, o controle rigoroso da execução de scripts como VBS, PowerShell e outros interpretadores em estações de trabalho que não necessitam desses recursos para a rotina de trabalho. Políticas de hardening e listas de permissões podem reduzir substancialmente a superfície de ataque, impedindo que o Lampion prossiga com a cadeia de infecção mesmo que o usuário tenha caído no golpe inicial.
A monitoração da criação de tarefas agendadas é mais uma medida recomendada. Como o Lampion depende dessas tarefas para manter a persistência no sistema e agendar a execução de scripts adicionais, alertas automatizados para atividades incomuns no agendador de tarefas podem indicar um ataque em andamento. Processos novos, executados em horários atípicos ou com nomes suspeitos, devem ser rapidamente investigados pelas equipes de segurança.
Ferramentas modernas de EDR (Endpoint Detection and Response) e XDR (Extended Detection and Response) são consideradas essenciais nesse contexto. Ao observar o comportamento dos processos e correlacionar eventos entre endpoints, servidores e rede, essas soluções conseguem identificar cadeias de ataque em múltiplas etapas, mesmo quando cada arquivo isolado parece inofensivo ou escapa à detecção por size e ofuscação. A visibilidade sobre todo o ciclo de vida do ataque é o que permite bloquear o Lampion antes que ele atinja o objetivo final: o roubo de credenciais e de informações financeiras.
O estudo da TRU também faz o mapeamento das técnicas utilizadas pelo Lampion em relação ao framework MITRE ATT&CK, o que ajuda equipes de segurança a entender em quais fases da matriz – como inicialização, persistência, evasão, exfiltração – o malware atua com mais intensidade. Além disso, são apresentados indicadores de comprometimento (IoCs), como hashes de arquivos, domínios e endereços de IP utilizados na campanha. Embora esses indicadores mudem com o tempo, eles são úteis para ajustar regras de detecção e fortalecer a postura defensiva.
O caso do Lampion evidencia uma tendência mais ampla: a profissionalização das fraudes digitais, muitas vezes focadas em nichos específicos de idioma, região e setor econômico. Ao adaptarem a comunicação e a estética dos golpes ao contexto português, os operadores exploram a confiança natural que o usuário deposita em marcas, serviços e instituições locais. Essa personalização torna o phishing mais convincente e aumenta a probabilidade de que o ataque seja bem-sucedido, alimentando o que muitos especialistas já chamam de “pandemia de fraude digital”.
Para organizações que atuam em Portugal ou que mantêm operações com clientes lusófonos, é crucial incorporar esse tipo de ameaça nos planos de continuidade de negócios e nas estratégias de gestão de risco. Isso inclui avaliações periódicas de vulnerabilidades, testes de phishing simulados com funcionários, revisão de políticas de acesso a sistemas bancários e implementação de autenticação multifator em todas as aplicações críticas.
Também é importante que bancos, fintechs e empresas que lidam com pagamentos eletrônicos intensifiquem a comunicação direta com os clientes sobre campanhas de malware como o Lampion. Avisos claros sobre os canais oficiais de envio de comprovantes, o formato dos arquivos realmente utilizados pela instituição e orientações objetivas sobre como confirmar a autenticidade de mensagens podem reduzir o impacto dessas campanhas, quebrando parte da narrativa construída pelos criminosos.
No ambiente doméstico, usuários finais devem adotar práticas básicas, mas eficazes: manter sistemas operacionais e softwares atualizados, utilizar soluções de segurança confiáveis, desconfiar de anexos mesmo quando supostamente enviados por empresas conhecidas e evitar habilitar a execução de scripts ou macros quando não houver absoluta necessidade. Pequenos hábitos de verificação, como conferir o endereço real do remetente ou observar erros sutis de linguagem, podem ser decisivos para evitar infecções.
Por fim, o Lampion mostra como o cibercrime cruza fronteiras facilmente, tanto geográficas quanto linguísticas. Um malware criado no Brasil, mas direcionado quase totalmente a Portugal, ilustra a capacidade dos grupos criminosos de explorar laços culturais e afinidades regionais de forma estratégica. À medida que essas operações se sofisticam, a resposta defensiva precisa evoluir no mesmo ritmo, combinando tecnologia avançada, processos bem definidos e, principalmente, pessoas preparadas para reconhecer e interromper a fraude antes que ela se concretize.