Pesquisadores de segurança identificaram uma nova ameaça digital chamada TCLBanker, um trojan bancário brasileiro capaz de atingir bancos, fintechs e corretoras de criptomoedas usando o WhatsApp e o Microsoft Outlook como canais de propagação automática do malware.
Segundo análises da Elastic Security Labs, o TCLBanker representa uma evolução da família de malwares Maverick/Sorvepotel e já monitora pelo menos 59 plataformas financeiras brasileiras, incluindo serviços bancários, fintechs e exchanges de criptomoedas.
O ataque começa por meio de um instalador malicioso disfarçado de software legítimo da Logitech chamado “Logi AI Prompt Builder”. Após a instalação, o malware utiliza a técnica conhecida como DLL sideloading para carregar códigos maliciosos sem levantar suspeitas em sistemas Windows.
Além do roubo de credenciais bancárias, o TCLBanker possui módulos que sequestram sessões autenticadas do WhatsApp Web e do Outlook para enviar automaticamente mensagens e e-mails infectados aos contatos da vítima. Isso aumenta significativamente a velocidade de propagação da ameaça e aproveita a confiança entre usuários conhecidos.
Os pesquisadores também destacam que o malware possui mecanismos avançados de evasão, incluindo detecção de ambientes de análise, anti-debugging e ocultação de atividades maliciosas. O trojan ainda consegue exibir telas falsas em tempo real para capturar senhas, autenticações e informações financeiras das vítimas.
Especialistas alertam que campanhas como essa reforçam o crescimento da sofisticação dos malwares bancários brasileiros. Discussões em comunidades de cibersegurança no Reddit destacam preocupação com a rápida disseminação por aplicativos de mensagem e o uso de engenharia social para enganar usuários.
Entre as recomendações de segurança estão:
- evitar baixar arquivos enviados por contatos sem confirmação;
- manter autenticação em dois fatores ativa;
- desconectar sessões suspeitas do WhatsApp Web;
- utilizar soluções de proteção endpoint;
- manter Windows e aplicativos atualizados;
- desconfiar de instaladores recebidos via ZIP ou links externos.
