Grandoreiro, trojan bancário brasileiro, volta a atacar e usa arquivos que simulam faturas para se esconder
Nova campanha identificada pela Acronis o Grandoreiro usa PDF e XML como isca e explora aplicativo legítimo para executar código malicioso; México concentra maior parte das detecções
O Grandoreiro, um dos principais trojans bancários de origem brasileira, continua ativo e evoluindo mesmo após operações internacionais e da Polícia Federal que interromperam parte significativa de sua infraestrutura em 2024. Uma nova investigação da Unidade de Pesquisas de Ameaças da Acronis (Acronis Threat Research Unit – TRU), empresa global líder em cibersegurança, identificou uma campanha renovada que utiliza um aplicativo legítimo do Windows para carregar código malicioso por meio de uma técnica conhecida como DLL sideloading.
A campanha deflagrada pelo Grandoreiro analisada pela TRU abusa do Duplicate Files Finder (DFF), um software legítimo, para executar uma DLL maliciosa. A técnica permite que o código do atacante seja executado dentro do processo de um aplicativo confiável, o que dificulta a identificação da atividade maliciosa.
A análise da telemetria dos últimos 30 dias mostrou que a atividade do Grandoreiro permanece concentrada na América Latina, especialmente no México, onde foi encontrada a maior parte das amostras observadas. Também foram registradas detecções na Espanha e em outros países da América Latina, além de uma presença limitada na Europa e na América do Norte.
De trojan brasileiro o Grandoreiro vira ameaça regional
Identificado desde pelo menos 2016, o Grandoreiro é um trojan bancário escrito em Delphi e de origem brasileira que historicamente tem mirado instituições financeiras e seus clientes em países latinos, utilizando campanhas de phishing e engenharia social. Em janeiro de 2024, uma operação conjunta liderada pela Polícia Federal brasileira e coordenada pela INTERPOL, com participação de autoridades espanholas e empresas privadas, interrompeu parte significativa da infraestrutura do malware.
Apesar da redução de sua atividade, o malware não desapareceu. Em maio de 2026, pesquisadores observaram uma nova campanha que utilizava o Duplicate Files Finder e DLL sideloading, reforçando a capacidade dos operadores de adaptar ferramentas e infraestrutura após ações de desarticulação.
Malware tenta identificar análise
Além do DLL sideloading, a campanha apresenta uma série de mecanismos de antianálise e evasão, que tentam determinar se o malware é executado em um computador real ou em um ambiente utilizado por pesquisadores de segurança.
Cadeia de DLL sideloading/ TRU Report Grandoreiro
Antes mesmo de estabelecer comunicação com sua infraestrutura de comando e controle, o loader verifica características do sistema, o que inclui tempo de atividade, quantidade de memória, número de processadores, espaço disponível em disco, resolução de tela e atividade recente do usuário.
O malware também procura componentes associados a ambientes de virtualização, como VMware e VirtualBox, e verifica 49 processos relacionados a ferramentas de depuração, engenharia reversa, análise de tráfego e monitoramento, além de ferramentas utilizadas por pesquisadores e equipes de segurança.
Entre os softwares que entram nessas verificações estão ferramentas como Wireshark, Process Hacker, Ghidra, Frida e outras utilizadas por pesquisadores e equipes de segurança. A amostra também verifica se aplicativos conhecidos, incluindo Google Chrome, Firefox, Microsoft Edge, Acrobat Reader, Skype, CCleaner e FileZilla, estão presentes no computador.
A amostra, por fim, realiza verificações de geolocalização e coloca determinados países em uma lista de bloqueio. Caso o ambiente seja identificado como potencial sandbox, o malware pode interromper sua execução.
Phishing continua sendo uma possível porta de entrada
A amostra analisada foi encontrada em um arquivo ZIP com nome semelhante ao de uma fatura. Embora os pesquisadores da TRU não tenham conseguido confirmar de forma conclusiva o vetor inicial, os padrões históricos de distribuição do Grandoreiro e as características do arquivo indicam, com confiança moderada, uma possível campanha de spam.
O arquivo também continha documentos PDF e XML usados como isca.
PDF falsos/ TRU Report Grandoreiro
De acordo com os especialistas, o objetivo principal do Grandoreiro continua sendo fraude financeira, com capacidade de roubar credenciais bancárias e outras informações sensíveis das vítimas.
Como empresas podem se proteger
A Acronis recomenda que organizações reforcem a conscientização de funcionários sobre mensagens de phishing, monitorem comportamentos suspeitos relacionados a DLL sideloading, mantenham soluções de segurança atualizadas e utilizem ferramentas de Endpoint Detection and Response (EDR) capazes de identificar indicadores comportamentais.
A campanha analisada foi detectada e bloqueada pelo Acronis EDR/XDR.
A pesquisa completa também apresenta indicadores de comprometimento (IoCs) e técnicas associadas ao framework MITRE ATT&CK para apoiar equipes de segurança na identificação da ameaça.
Sobre a Acronis
A Acronis é uma empresa global de proteção cibernética que fornece cibersegurança, proteção de dados e gerenciamento de endpoints nativamente integrados para provedores de serviços gerenciados (MSPs), pequenas e médias empresas (PMEs) e departamentos de TI corporativos.
As soluções da Acronis são altamente eficientes e projetadas para identificar, prevenir, detectar, responder, remediar e recuperar-se de ameaças cibernéticas modernas com o mínimo de tempo de inatividade, garantindo a integridade dos dados e a continuidade dos negócios. A Acronis oferece a solução de segurança mais abrangente do mercado para MSPs, graças à sua capacidade única de atender às necessidades de ambientes de TI diversos e distribuídos.
Fundada em Singapura em 2003 e com sede na Suíça, a Acronis possui 15 escritórios em todo o mundo e colaboradores em mais de 50 países. O Acronis Cyber Protect está disponível em 26 idiomas, em 150 países, e é utilizado por mais de 21.000 provedores de serviços para proteger mais de 750.000 empresas.