Um download aparentemente inofensivo pode ser suficiente para abrir a porta aos cibercriminosos. Uma nova investigação da Kaspersky revela que cerca de 35% das infeções por infostealers começam quando os utilizadores executam ficheiros diretamente a partir da pasta temporária dos navegadores, mostrando que o comportamento humano continua a ser uma das principais vulnerabilidades na segurança digital.
A conclusão resulta da análise de cinco milhões de ficheiros de registo de infostealers descobertos na dark web ao longo de 2025. Estes registos contêm informação roubada de dispositivos comprometidos, incluindo credenciais de contas, cookies de navegadores e metadados dos sistemas, permitindo aos investigadores perceber também onde estavam originalmente os ficheiros maliciosos nos computadores infetados.
A localização mais frequente foi a pasta temporária do Windows, C:\Users\AppData\Local\Temp, responsável por aproximadamente 35% dos casos analisados. Trata-se de uma diretoria utilizada habitualmente para armazenar ficheiros descarregados da Internet antes de serem guardados de forma permanente.
O dado sugere que uma parte significativa das infeções acontece de uma forma relativamente simples: o utilizador descarrega um ficheiro e executa-o diretamente, sem que o atacante tenha necessariamente de recorrer a técnicas avançadas para ultrapassar os mecanismos de segurança.
Quando o utilizador se torna a porta de entrada
A segunda localização mais comum, responsável por cerca de 32% dos casos, foi C:\Windows\Microsoft.NET\Framework. Neste caso, a atividade está associada a técnicas como process injection e living off the land, utilizadas para explorar processos legítimos do sistema e dificultar a deteção do malware.
A diferença entre os dois padrões é relevante. Enquanto uma parte substancial das infeções depende de técnicas sofisticadas, outra começa simplesmente com uma ação realizada pelo próprio utilizador.
Segundo a investigação, dois comportamentos surgem particularmente associados às infeções: descarregar software a partir de fontes não fidedignas e tentar ativar software ilegalmente. Em alguns casos, os utilizadores seguem instruções fornecidas pelos próprios atacantes e desativam as ferramentas de segurança antes de executar os ficheiros.
Os ficheiros maliciosos analisados apresentavam-se frequentemente como instaladores de software legítimo, ativadores ou modificações para videojogos. Os mods continuam a ser um dos chamarizes utilizados pelos atacantes, embora as mesmas técnicas possam ser adaptadas para distribuir praticamente qualquer tipo de software.
“Em muitos casos, os atacantes não precisam de recorrer a técnicas sofisticadas; basta convencê-los a executar um ficheiro”, explica Sergey Shcherbel, especialista da Kaspersky Digital Footprint Intelligence.
O problema não é, contudo, exclusivamente técnico. Os infostealers registaram um crescimento de 59% das infeções em 2025 face ao ano anterior, segundo a Kaspersky, tornando particularmente relevante a componente comportamental da segurança digital.
Portugal não foge à tendência
A realidade portuguesa acompanha esta tendência. Dados divulgados pelo Centro Nacional de Cibersegurança indicam que cerca de metade dos incidentes de segurança registados em Portugal em 2025 resultaram da exploração do fator humano, através de phishing, mensagens fraudulentas ou outras técnicas de engenharia social que procuram levar os utilizadores a clicar em ligações ou executar ficheiros maliciosos.
A análise da Kaspersky identifica ainda diferenças nas estratégias utilizadas pelas várias famílias de infostealers. O Lumma, por exemplo, recorre frequentemente a nomes genéricos de instaladores, ofuscação .NET e injeção de processos. O Vidar aparece muitas vezes associado a ficheiros como Bootstrapper.exe, enquanto o Stealc combina nomes descritivos com designações geradas aleatoriamente. Já o RisePro utiliza repetidamente nomes como MPGPH.exe e MSIUpdater.exe.
Para reduzir o risco de infeções por infostealers, a Kaspersky recomenda às empresas:
- Adotar um serviço abrangente de proteção contra riscos digitais que monitorize os ativos digitais da organização e detete ameaças na superfície de ataque, na deep web e na dark web
- Proporcionar às equipas de Segurança da Informação uma visibilidade aprofundada sobre as ciberameaças dirigidas à organização.
Para os utilizadores, as recomendações incluem:
- Faça o download software apenas a partir de fontes oficiais e de confiança, evitando software pirateado, cracks, ativadores e instaladores não oficiais.
- Utilizar uma solução de segurança robusta em todos os computadores e dispositivos móveis
- Gerir dados sensíveis de forma segura: evitar guardar passwords ou frases de recuperação em galerias de fotografias ou aplicações de notas, optando antes por um gestor de palavras-passe dedicado e fiável
- Nunca desativar o antivírus ou outras ferramentas de segurança para instalar software e ter especial cuidado ao descarregar mods, cheats ou utilitários de terceiros para videojogos.
- Manter os sistemas operativos e as aplicações atualizados, utilizar passwords fortes e únicas e ativar a autenticação multifatorial sempre que possível.
