Um método pouco convencional de esconder código malicioso chamou a atenção de pesquisadores de segurança neste mês. Em vez de embutir o vírus no anexo ou usar um servidor de arquivos comum, os criminosos passaram a esconder os comandos de instalação dentro da mensagem de boas-vindas de um servidor FTP — aquele texto curto que um servidor devolve assim que alguém se conecta a ele. Para a maioria das ferramentas de defesa, esse tráfego parece rotina administrativa.
A tática foi documentada pela empresa de segurança SOCRadar, depois que o coletivo MalwareHunterTeam sinalizou um arquivo suspeito enviado a partir do México. O ponto de entrada é o de sempre: um e-mail com um arquivo compactado que se apresenta como comprovante de pagamento, escrito em espanhol. A diferença está no que acontece depois. Ao abrir o atalho que vem dentro do pacote, o sistema busca a saudação do servidor FTP remoto — e é nesse texto que estão os comandos que acionam o download real do malware.
Dois espiões, duas estratégias de disfarce
A campanha distribui dois programas diferentes, ambos de acesso remoto. O E4del se apresenta como se fosse o Discord, o que ajuda a passar despercebido na lista de processos de quem usa o aplicativo no dia a dia. Uma vez ativo, ele grava a tela, transmite o monitor ao vivo para o operador e executa ordens enviadas de fora.
O PINHOLE é mais elaborado. Ele fragmenta o próprio código em camadas protegidas dentro da memória, o que dificulta a análise por antivírus tradicionais, e busca instruções em páginas de serviços legítimos como Pinterest e SurveyMonkey — um truque que faz o tráfego de comando e controle se misturar à navegação normal. Os pesquisadores catalogaram 14 funções no programa, incluindo roubo de arquivos, captura de credenciais e encerramento de processos em execução.
Campanha ainda pequena — e é aí que mora o risco
Segundo o levantamento, a operação começou em julho de 2026 e, até o momento do estudo, contabilizava apenas 11 execuções documentadas. É um número baixo, e isso não é necessariamente boa notícia: campanhas com poucos alvos costumam indicar ataque dirigido, não disparo em massa. Quem está sendo atingido provavelmente foi escolhido a dedo — o que combina com a isca de comprovante financeiro em espanhol, típica de fraude contra departamentos administrativos e financeiros.
Para o leitor brasileiro, o alerta prático é direto. A isca em espanhol pode virar português a qualquer momento, porque adaptar o texto do e-mail é a parte mais barata da operação. A recomendação dos pesquisadores vale para empresas de qualquer tamanho: restringir a execução de programas não autorizados nas máquinas, monitorar tráfego de protocolos de rede incomuns — uma estação de trabalho abrindo conexão FTP para fora é um sinal que merece investigação — e reforçar o cuidado com anexos compactados, mesmo quando o remetente parece conhecido. Nenhuma dessas medidas é nova; o que muda é o lugar onde o comando malicioso se esconde.
