A Kaspersky identificou um trojan bancário chamado Maverick que se propaga pelo WhatsApp Web e visa roubar credenciais de usuários brasileiros em instituições financeiras. O malware, detectado em setembro de 2025, já registrou mais de 62 mil tentativas de infecção bloqueadas apenas em outubro, conforme dados da empresa de cibersegurança. A ameaça opera exclusivamente em sistemas configurados para o padrão brasileiro, verificando fuso horário, idioma e formato de data para ativar o ataque.

O vírus inicia com um arquivo compactado em formato .zip enviado via mensagens do WhatsApp, contendo um atalho malicioso .LNK que, ao ser executado, inicia a infecção na memória do dispositivo. Essa técnica evita detecção por antivírus tradicionais, pois não altera arquivos no disco rígido. Após a instalação, o Maverick permanece dormente até o usuário acessar sites de 26 bancos ou seis corretoras de criptomoedas monitoradas pelo programa.

Propagação automatizada pelo aplicativo de mensagens

O trojan utiliza ferramentas de automação de navegador para assumir controle parcial do WhatsApp Web e enviar o arquivo infectado a contatos da vítima. Essa funcionalidade transforma o malware em um worm, permitindo expansão rápida sem intervenção manual dos criminosos.

A Kaspersky observou que o código inclui comentários em português brasileiro, indicando origem local. O processo de envio ocorre apenas quando o usuário está logado, limitando o risco de uso offline da conta.

Especialistas notam que essa automação eleva o potencial de disseminação, com picos de tentativas de infecção nos finais de semana.

Mecanismos de roubo de informações financeiras

O Maverick ativa funções de monitoramento assim que detecta acesso a sites financeiros alvo. Ele captura telas, registra teclas pressionadas e rastreia movimentos do mouse para coletar senhas e códigos de autenticação.

Em casos de acesso bancário, o vírus exibe telas falsas de verificação de segurança, solicitando credenciais adicionais que são enviadas a servidores remotos. Essa abordagem evita varreduras completas do sistema, focando em dados em tempo real.

A lista de alvos é criptografada com AES-256, dificultando análises iniciais. O malware não altera transações, mas facilita fraudes subsequentes com as credenciais obtidas.

Pesquisas indicam que o trojan opera em Windows, explorando brechas comuns em navegadores desatualizados.

Ligações com ameaças cibernéticas anteriores

Análises técnicas revelam semelhanças entre o código do Maverick e o trojan Coyote, descoberto pela Kaspersky em 2024. Ambos compartilham estruturas de criptografia e métodos de ofuscação, sugerindo desenvolvimento por grupos relacionados.

• O Coyote mirava mais de 60 instituições internacionais, enquanto o Maverick foca em 32 alvos nacionais.
• Trechos de código idênticos incluem rotinas de verificação geográfica.
• Diferenças incluem a automação via WhatsApp, ausente no predecessor.

Essas conexões apontam para evolução de táticas por cibercriminosos brasileiros. A Kaspersky estima que o grupo por trás do Coyote pode ter adaptado componentes para maior eficiência local.

Respostas das instituições financeiras envolvidas

A Federação Brasileira de Bancos informou que adota mensageria criptografada e autenticação biométrica em suas plataformas. Tecnologias como análise de big data e inteligência artificial são empregadas para identificar padrões de risco em tempo real.

Instituições monitoram acessos suspeitos e atualizam protocolos de segurança mensalmente. Em 2025, o setor registrou aumento de 20% em investimentos em defesas cibernéticas, conforme relatórios internos.

A Meta, controladora do WhatsApp, reforça criptografia de ponta a ponta e alertas para mensagens de desconhecidos. Atualizações recentes incluem verificação de contexto em conversas novas.

Bancos recomendam aos clientes ativar notificações de login e revisar extratos regularmente.

Medidas preventivas contra o trojan bancário

Usuários devem desativar downloads automáticos no WhatsApp para bloquear arquivos .zip indesejados. Manter o sistema operacional e antivírus atualizados reduz vulnerabilidades exploradas pelo Maverick.

• Evite executar atalhos .LNK de fontes desconhecidas, mesmo de contatos conhecidos.
• Instale soluções de segurança que escaneiem memória em tempo real.
• Encaminhe mensagens suspeitas para suporte do banco em vez de abrir anexos.

Essas ações simples interrompem a cadeia de infecção na origem. A Kaspersky alerta para o risco em horários de pico de uso do aplicativo.

Escala da ameaça em outubro de 2025

A campanha do Maverick acelerou no início de outubro, com 62 mil bloqueios reportados pela Kaspersky até o dia 16. Dados de telemetria mostram distribuição concentrada em regiões urbanas, como Sudeste e Sul do país.

O número de tentativas reflete o uso massivo do WhatsApp Web em rotinas profissionais. Comparado a ameaças semelhantes em 2024, o Maverick representa um aumento de 15% em infecções direcionadas a finanças.

Autoridades monitoram servidores associados ao malware para rastrear origens. O Banco Central orienta relatar incidentes via canais oficiais para agilizar respostas.

Detecção e análise técnica do malware

Engenheiros da Kaspersky decifraram camadas de ofuscação no código, revelando rotinas que verificam configurações regionais em milissegundos. O processo usa APIs do Windows para ler configurações sem alertar o usuário.

O trojan evita sandboxes comuns ao simular comportamentos normais durante testes. Análises forenses indicam que o arquivo inicial pesa menos de 1 MB, facilitando envios rápidos.

• Verificação de idioma: Prioriza pt-BR.
• Checagem de fuso: Confirma UTC-3.
• Formato de data: Exige DD/MM/AAAA.

Esses filtros garantem foco exclusivo em alvos brasileiros, otimizando recursos dos atacantes.