Novo golpe com GoPix usa anúncios no Google para roubar dinheiro

O trojan bancário brasileiro GoPix evoluiu e passou a desviar transações financeiras de empresas para criminosos, de acordo com a empresa de segurança Kaspersky. A nova técnica inclui a alteração de carteiras de criptomoedas, Pix e boletos, além de utilizar um método para ocultar o malware na memória do computador.

Ataques

Campanhas do GoPix usam anúncios pagos maliciosos no Google como porta de entrada. Os anúncios se disfarçam de serviços populares, como WhatsApp, Google Chrome e Correios, e levam a sites criados por cibercriminosos. Esse tipo de praga é conhecido como trojan, pois se disfarça de software legítimo para enganar a vítima e infectar o sistema. Procurado para comentar, o Google não respondeu ao pedido da reportagem. O espaço segue aberto.

O site faz uma triagem antes de oferecer o download do arquivo malicioso. A página verifica se o visitante parece ser cliente de bancos brasileiros, usuário de criptomoedas ou ligado a órgãos financeiros de governos estaduais e grandes corporações.

Funcionamento

A infecção começa quando a pessoa clica no anúncio e baixa um instalador falso no Windows. O arquivo simula ser o programa procurado, como um suposto instalador do “WhatsApp Web”, e o malware passa a operar de forma furtiva na máquina.

O golpe mira computadores com sistema Windows e tenta agir sem deixar rastros no disco. A atuação diretamente na memória dificulta que a vítima perceba a fraude enquanto navega e realiza transações — essa é a principal evolução em relação à versão inicial do GoPix, registrada em 2023. O foco dos criminosos são usuários ligados a empresas, que realizam mais transações bancárias por meio de computadores.

A principal técnica é substituir dados copiados e colados para redirecionar pagamentos. Se a vítima copia uma chave Pix, um código de boleto ou um endereço de carteira de criptomoedas, o GoPix pode alterar a informação no momento da colagem e direcionar o dinheiro para os criminosos.

Outra manobra é contornar a proteção do HTTPS com um certificado falso injetado na memória do navegador. Com isso, o malware tenta se posicionar entre o usuário e o serviço acessado para capturar ou modificar dados sensíveis, como credenciais e valores de transações, sem ser percebido.

“O GoPix consegue operar diretamente da memória do computador, deixando pouquíssimos rastros, o que dificulta a detecção. O malware ainda utiliza servidores de comando e controle com vida útil extremamente curta, ou seja, eles são desligados e substituídos rapidamente para evitar rastreamento, e explora serviços antifraude legítimos para identificar e selecionar suas vítimas”, afirmou Fabio Assolini, diretor da Equipe Global de Pesquisa e Análise da Kaspersky para a América Latina e Europa, em comunicado.

Prevenção

Como reduzir o risco de cair no golpe

Desconfie de anúncios patrocinados que oferecem download de programas populares. A orientação é baixar softwares apenas em sites oficiais dos desenvolvedores e verificar o endereço exibido na barra do navegador.

A instalação de programas deve ser feita apenas a partir de fontes oficiais e confiáveis. Links em anúncios, e-mails ou páginas desconhecidas aumentam o risco de o arquivo ser um instalador falso com malware embutido.

O uso de soluções de segurança e a atualização do sistema ajudam a bloquear ameaças. A Kaspersky recomenda manter um antivírus confiável e atualizado, além de instalar regularmente atualizações do Windows e dos navegadores.

(Folhapress)