Grandoreiro mira o México e reforça tendência de ataques escondidos em software legítimo

Um dos trojans bancários mais conhecidos da América Latina voltou a apresentar sinais de atividade. Em agosto de 2026, pesquisadores da Acronis Threat Research Unit divulgaram uma nova campanha do Grandoreiro, malware de origem brasileira ativo desde pelo menos 2016.

Desta vez, a maior concentração de amostras observadas estava no México, com uma cadeia de infecção baseada em phishing, arquivos compactados e uso de software legítimo para carregar código malicioso.

O caso chama atenção porque essa mesma lógica vem aparecendo em outras campanhas recentes, incluindo o TerminalFix, divulgado pela Microsoft no fim de agosto. O cenário reforça uma tendência importante para as equipes de segurança: executáveis legítimos também podem participar de uma cadeia de ataque.

Grandoreiro segue ativo

Em 2024, uma operação coordenada entre autoridades brasileiras, espanholas e a INTERPOL levou à prisão de pessoas associadas ao Grandoreiro e ao desmantelamento de parte de sua infraestrutura.

A atividade, porém, continuou. Em 2025, a IBM X-Force identificou campanhas direcionadas ao México e à Costa Rica, principalmente por meio de phishing com temas fiscais e governamentais.

Na campanha mais recente analisada pela Acronis, os criminosos utilizaram o Duplicate Files Finder, um programa legítimo, como parte da cadeia de execução do malware.

DLL sideloading: quando um programa confiável carrega código malicioso

A principal técnica utilizada é o DLL sideloading, que explora a forma como aplicações Windows procuram bibliotecas necessárias para funcionar.

No ataque, o executável legítimo é colocado no mesmo diretório de uma DLL maliciosa com o nome de uma dependência esperada pelo programa. Quando o aplicativo é iniciado, o Windows carrega a biblioteca adulterada.

Isso permite que o código malicioso seja executado a partir de um processo aparentemente confiável, dificultando detecções baseadas apenas em reputação, assinatura digital ou nome do executável.

A interface do aplicativo legítimo ainda é ocultada, enquanto o loader executa verificações no ambiente e prepara o próximo estágio da infecção.

Anti-análise e evasão

Antes de continuar a execução, o Grandoreiro tenta identificar se está rodando em uma máquina real ou em um ambiente de análise.

Entre os comportamentos identificados pela Acronis estão a verificação do tempo de atividade do Windows, busca por atalhos de aplicações comuns e procura por ferramentas como Procmon, Wireshark, Ghidra, x64dbg e Process Hacker.

O malware também utiliza informações de localização para restringir a execução a determinadas regiões. Na amostra analisada, a comunicação com a infraestrutura externa ocorreu por meio de uma conexão utilizando TCP na porta 6432.

Depois dessas etapas, o payload principal pode executar funções como captura de teclado, monitoramento da tela, controle remoto e sobreposição de páginas falsas durante acessos a serviços financeiros.

O Grandoreiro faz parte de uma tendência maior

A técnica observada não está restrita ao Grandoreiro.

Em agosto de 2026, a Microsoft detalhou o TerminalFix, campanha que utiliza páginas comprometidas e falsas verificações CAPTCHA para induzir usuários a executar comandos no Windows Terminal ou PowerShell.

A cadeia também utiliza um executável legítimo acompanhado por uma DLL maliciosa. Em etapas posteriores, os atacantes podem realizar reconhecimento do Active Directory, criar persistência e estabelecer túneis reversos para acesso à rede comprometida.

Esse comportamento muda o foco da detecção. Um executável conhecido ou assinado não deve ser considerado confiável isoladamente. É necessário analisar onde ele está sendo executado, quais DLLs carrega, quais processos cria e com quais destinos se comunica.

O que as empresas devem monitorar

Alguns controles ajudam a reduzir a exposição a esse tipo de ataque:

• Monitorar aplicações legítimas carregando DLLs a partir de Temp, Downloads, AppData ou outros diretórios de usuário.
• Correlacionar processos, DLLs, conexões de rede e árvores de execução no EDR/XDR.
• Restringir a execução de aplicações não homologadas.
• Monitorar PowerShell, Windows Terminal, scripts e arquivos compactados.
• Criar alertas para conexões externas em portas incomuns.
• Integrar informações de endpoint, firewall, e-mail e identidade no SIEM.
• Reforçar a conscientização de usuários que lidam com notas fiscais, cobranças e documentos financeiros.

Detecção precisa considerar comportamento

Indicadores como hashes, IPs e domínios continuam relevantes, mas podem mudar rapidamente entre campanhas.

O comportamento deixa sinais mais consistentes. Um programa legítimo executado a partir de uma pasta incomum, carregando uma DLL desconhecida e estabelecendo comunicação externa fora do padrão forma um contexto mais útil para investigação do que qualquer evento analisado isoladamente.

Casos como Grandoreiro e TerminalFix reforçam a importância de uma estratégia de detecção baseada em correlação de eventos e contexto operacional.

Sua empresa consegue identificar esse comportamento?

A ARX CYBER apoia organizações na evolução dessa capacidade por meio de serviços de SOC, SIEM, EDR/XDR, Threat Hunting e resposta a incidentes, integrando eventos de endpoint, identidade, e-mail e rede para ampliar a visibilidade sobre ameaças.

Quer avaliar se sua estrutura atual consegue identificar técnicas como DLL sideloading e abuso de aplicações legítimas? Fale com a ARX CYBER.