Trojan brasileiro rouba Pix sem aviso e evolui com técnicas inéditas

Malware GoPix usa métodos sofisticados para interceptar pagamentos e enganar vítimas em tempo real

Especialistas em cibersegurança acenderam o alerta para uma novidade temporada de um malware vernáculo capaz de desviar verba sem que o usuário perceba. Batizado de GoPix, o trojan bancário ganhou versões mais avançadas e passou a utilizar estratégias inéditas para fraudar transações porquê Pix, boletos e até criptomoedas.

De concordância com estudo da Kaspersky, a ameaço tem se espalhado por meio de anúncios falsos exibidos no Google. Ao clicar nesses links, usuários podem ser levados a páginas fraudulentas que iniciam o processo de infecção. O golpe ocorre de forma silenciosa: a vítima acredita estar realizando um pagamento legítimo, mas os valores podem ser redirecionados para contas controladas por criminosos.

Ataque vai além da troca de chave Pix

Embora tenha ficado divulgado por mudar chaves Pix, o GoPix ampliou seu alcance. O malware também interfere em pagamentos via boletos e movimentações com criptomoedas, tornando o esquema mais abrangente.

Segundo Fabio Marenghi, pesquisador líder de segurança da Kaspersky, há evidências concretas do impacto financeiro causado. “Já no caso de roubo de criptomoedas, a natureza pública do blockchain nos permite confirmar que a carteira controlada pelo criminoso já recebeu mais de R$100 milénio”.

Ele ressalta, porém, que esse valor não reflete todo o prejuízo. “representa somente uma pequena fração do prejuízo totalidade visto que esse não é o ataque principal do GoPix”, já que fraudes com Pix e boletos dependem de informações internas de instituições financeiras.

Porquê o golpe chega até a vítima

O principal caminho de infecção envolve campanhas patrocinadas em buscadores. Criminosos compram anúncios e imitam páginas de serviços populares, porquê WhatsApp, Google Chrome e Correios.

“As campanhas utilizam diferentes iscas para atrair as vítimas, incluindo falsas notificações de rastreio dos Correios, atualizações falsas do WhatsApp e do Google Chrome”, explica Marenghi.

Depois o clique, o usuário pode ser direcionado a um site falso que analisa o perfil da vítima antes de liberar o registo malicioso. Caso o meta não seja considerado interessante, a página pode simular normalidade — o que dificulta a identificação do golpe.

Tecnologia inédita dificulta detecção

O GoPix representa um salto técnico entre os trojans bancários brasileiros. De concordância com a Kaspersky, o método utilizado ainda não havia sido documentado.

“A técnica que o malware utiliza para realizar a fraude é única e nunca foi documentada anteriormente, o que dificulta a detecção pelos sistemas de segurança”, afirma Marenghi.

Outro fator que complica a identificação é o modo de operação: o malware atua diretamente na memória do sistema, sem depender de arquivos instalados no dispositivo. Isso reduz vestígios e limita a eficiência de antivírus tradicionais.

Outrossim, o escopo foi ampliado. “passou a incluir também monitoramento de boletos, ampliando ainda mais seu alcance e impacto.”

Fraude acontece durante a transação

Dissemelhante de golpes mais simples, o GoPix interfere no momento em que a operação financeira está sendo realizada. Uma das técnicas utilizadas é o chamado ataque “man-in-the-middle”, que permite interceptar sessões bancárias em tempo real.

“Na técnica man-in-the-middle, temos evidências concretas de fraudes ativas, nas quais o malware intercepta sessões bancárias legítimas da vítima em tempo real”, detalha Marenghi.

No caso de Pix e boletos, há uma diferença importante. “No caso de Pix e boletos, o GoPix realiza o monitoramento das transações, não a substituição dos dados.”

Isso significa que o usuário acessa normalmente o site do banco, com todos os sinais de segurança aparentes, enquanto o golpe ocorre nos bastidores, podendo mudar informações antes da finalização.

Já nas transações com criptomoedas, o comportamento muda: os endereços das carteiras podem ser substituídos silenciosamente na espaço de transferência. “A carteira identificada do criminoso já recebeu mais de R$100 milénio em transações oriundas de vítimas que tiveram seus endereços de carteira substituídos silenciosamente pela espaço de transferência do sistema.”

Prenúncio mais estratégica e difícil de perceber

O transe do GoPix está na combinação de fatores: atuação em tempo real, baixa visibilidade e uso simultâneo de múltiplas técnicas. Isso aumenta significativamente a taxa de sucesso das fraudes.

“O monitoramento é contínuo e seguimos investigando novas campanhas com temas distintos, o que indica que os criminosos adaptam continuamente suas táticas para ampliar o alcance das infecções.”

Esse cenário revela uma mudança no perfil dos ataques no Brasil, que deixam de ser somente oportunistas e passam a operar de forma mais planejada e direcionada.

Medidas para evitar tombar no golpe

Para reduzir os riscos, especialistas recomendam atenção redobrada ao diminuir programas. Evitar clicar em anúncios patrocinados é uma das principais orientações — mesmo quando eles parecem confiáveis.

Outra medida importante é acessar diretamente os sites oficiais digitando o endereço no navegador, em vez de encarregar nos primeiros resultados das buscas.

Também é forçoso revisar cuidadosamente os dados antes de confirmar pagamentos, principalmente em Pix, boletos e criptomoedas.

Manter o sistema operacional e os navegadores atualizados é outra prática fundamental, já que atualizações corrigem vulnerabilidades exploradas por esse tipo de ameaço.

Veja também