O malware Vidar, uma das famílias de roubo de informações mais ativas, sofreu uma evolução significativa em 2026, adotando técnicas sofisticadas de ofuscação para burlar ferramentas de segurança tradicionais. Pesquisadores identificaram que a versão mais recente do Vidar agora oculta payloads de segunda etapa dentro de arquivos de imagem JPEG e documentos TXT, tornando-o muito mais difícil de ser detectado por soluções convencionais. Essa mudança marca uma alteração fundamental na forma como o malware atinge seus alvos e rouba dados sensíveis de vítimas em todo o mundo.
Descoberta e escopo da ameaça
Analistas da equipe de inteligência de ameaças Lat61, da Point Wild, identificaram essa nova variante e publicaram suas descobertas em 24 de abril de 2026. Os pesquisadores Kedar Shashikant Pandit e Prathamesh Shingare examinaram todo o ciclo de vida da infecção, desde o ponto de entrada inicial até a fase final de exfiltração de dados. A análise revelou que essa variante específica do Vidar depende fortemente de scripts ofuscados, ferramentas confiáveis do Windows e entrega em etapas por meio de formatos de arquivos não executáveis para permanecer oculto das ferramentas de segurança.
Desde seu primeiro aparecimento em 2018, o Vidar começou como um coletor básico de credenciais construído na estrutura Arkei. Ao longo dos anos, tornou-se muito mais perigoso. Em 2026, adotou um modelo de Malware-as-a-Service (MaaS), suporta cadeias de entrega de múltiplas etapas e usa plataformas de mídia social como o Telegram para operações de comando e controle. O malware não rouba mais apenas senhas; ele agora executa cadeias de infecção inteiras na memória de um computador, deixando muito pouco rastro no sistema infectado.
Vetor de ataque e mecanismos de infecção
O malware se espalha por múltiplos pontos de entrada. Repositórios falsos do GitHub disfarçados como ferramentas de desenvolvedor ou software vazado foram usados para distribuir o Vidar. Sites WordPress comprometidos e páginas de CAPTCHA falsas, conhecidas como páginas ClickFix, enganam os usuários para que executem comandos do Windows que acionam a cadeia de infecção. Comunidades de jogos também foram alvo por meio de repositórios falsos de ferramentas de trapaça compartilhados em plataformas como GitHub, Discord e Reddit, onde os usuários são mais propensos a ignorar avisos de segurança em troca de vantagens no jogo.
A infecção começa com um binário dropper compilado em Go que atua como o ponto de entrada inicial. Como Go não é uma linguagem comumente associada a malware, essa escolha ajuda a amostra a evitar a detecção por muitas ferramentas de segurança tradicionais. Uma vez executado, o dropper coloca um arquivo VBScript chamado ewccbqtllunx.vbs na pasta Temp do Windows. O VBScript verifica primeiro se o sistema está rodando em um ambiente de sandbox. Se uma sandbox for detectada, o script sai imediatamente. Caso contrário, ele constrói um comando PowerShell ofuscado e o executa com uma janela oculta.
Este script PowerShell se conecta a um endereço IP remoto em 62.60.226.200 via TLS 1.2 e baixa um arquivo chamado 160066.jpg. O arquivo parece ser uma imagem normal, mas contém um payload oculto em Base64 entre marcadores personalizados rotulados como BASE64_START e BASE64_END. O malware localiza esses marcadores, extrai o conteúdo codificado, decodifica tudo na memória e carrega o resultado como uma montagem .NET sem salvar nada em disco. Um segundo pedido busca KGVn4OY.txt do mesmo servidor. Este arquivo de texto contém conteúdo Base64 revertido e ofuscado. O malware reverte a string, substitui caracteres lixo, decodifica o resultado e o executa inteiramente na memória.
Impacto e alcance da campanha
A campanha tem um impacto amplo. O Vidar mira mais de 200 extensões de navegador, incluindo carteiras de criptomoedas como MetaMask, Phantom e Coinbase Wallet, além de gerenciadores de senhas como Bitwarden, LastPass e KeePass. Isso vai muito além do simples roubo de credenciais e coloca tanto indivíduos quanto organizações em sério risco de perda financeira e exposição de dados em larga escala. A execução de cadeias de infecção inteiras na memória, deixando pouco rastro, aumenta significativamente o tempo de permanência (dwell time) dos atacantes nas redes comprometidas.
Medidas de mitigação recomendadas
Equipes de segurança devem bloquear conexões de saída para endpoints HTTP baseados em IP direto, monitorar cadeias de spawn de processo WScript e PowerShell, restringir a execução do RegAsm.exe apenas a processos assinados e verificados, e auditar regularmente o conteúdo da pasta de inicialização em busca de modificações não autorizadas. A detecção de atividades anômalas em arquivos de imagem e texto que contêm dados codificados é crucial para identificar essa variante específica.
O que os CISOs devem fazer imediatamente
Para proteger suas organizações, os líderes de segurança devem revisar as políticas de execução de scripts, especialmente VBScript e PowerShell, e garantir que a análise de tráfego de rede esteja configurada para detectar conexões a IPs maliciosos conhecidos. A implementação de soluções de detecção baseadas em comportamento, que possam identificar a execução de código na memória sem escrita em disco, é essencial para combater essa técnica de evasão.