A Microsoft revelou os detalhes de uma campanha ativa que usa cópias quase perfeitas de páginas de descarregamento de software para distribuir instaladores maliciosos. De acordo com a equipa Microsoft Defender Experts, os sites contrafeitos imitam fabricantes de confiança e, uma vez executados, os instaladores implantam malware que estabelece persistência, tenta enfraquecer as proteções de segurança e comunica com infraestrutura controlada pelos atacantes. A Microsoft avalia com confiança moderada que a atividade é consistente com a campanha de software falso publicamente reportada como Silver Fox (também conhecida por Yinhu, 银狐), mas não a atribuiu a um ator estatal. O caso é relevante muito para lá da geografia visada: mostra como um simples clique em “Descarregar” pode terminar num posto de trabalho totalmente comprometido.
Resposta rápida: Uma campanha em curso distribui instaladores falsos a partir de clones de sites de fabricantes conhecidos. O malware adiciona exclusões ao Microsoft Defender, apaga cópias sombra, desativa serviços do Windows Update e liga-se a servidores de comando e controlo em portos pouco comuns. Descarregue software apenas nos sites oficiais, ative a proteção contra adulteração (tamper protection) e o SmartScreen, e investigue qualquer alteração inesperada às exclusões do antivírus.
Sites clonados que geram um instalador diferente a cada clique
O ponto de partida da cadeia de ataque é uma página de descarregamento praticamente idêntica à do fabricante legítimo. Segundo a Microsoft, a campanha recorre a domínios semelhantes que se fazem passar por marcas de software como Razer, Microsoft Edge, Kaspersky, Youdao, Baidu Netdisk, Sogou e Calibre, entre outras. Um dos exemplos divulgados é uma página falsa de descarregamento do Microsoft Edge alojada no domínio semelhante app-microsoft-edge[.]com[.]cn.
O detalhe técnico mais interessante está na forma como o ficheiro é servido. A campanha utiliza instaladores gerados dinamicamente, com hashes rotativos, páginas falsificadas em domínios .com.cn e .hl.cn e caminhos aleatórios para o estacionamento do payload. A Microsoft registou duas cópias do mesmo arquivo com conteúdos distintos escritas com menos de 70 segundos de intervalo — um modelo que inutiliza o bloqueio simples baseado em hash. Na prática, listas de bloqueio estáticas por nome de ficheiro ou por soma de verificação deixam de ser suficientes: é preciso detetar comportamento.
O que o malware faz assim que é executado
A sequência pós-execução é agressiva e orientada a cegar as defesas antes de qualquer atividade visível. Segundo a Microsoft, os operadores adicionam exclusões de caminho abrangentes no Microsoft Defender através de PowerShell (Add-MpPreference -ExclusionPath) e de uma escrita no registo a partir de uma tarefa agendada com privilégios SYSTEM; eliminam as cópias sombra de volume (vssadmin delete shadows /all /quiet) para dificultar a recuperação; endurecem os diretórios do payload com icacls para que utilizadores comuns não consigam remover os ficheiros; e neutralizam o Windows Update, parando e desativando os serviços wuauserv, UsoSvc, uhssvc e WaaSMedicSvc, renomeando DLLs de atualização e apagando a cache SoftwareDistribution.
A combinação /RL HIGHEST /RU "SYSTEM" na tarefa agendada eleva a escrita da exclusão para o contexto SYSTEM, um truque que contorna as restrições habituais do utilizador. Em vários dispositivos foi ainda escrita uma política maliciosa de Windows Defender Application Control no repositório de integridade de código; o Microsoft Defender Antivírus detetou este comportamento de adulteração como Behavior:Win32/MpTamperGpDisableAVFriendly.A.
A campanha também não é totalmente automatizada. A Microsoft observou, num subconjunto de ambientes, atividade interativa “hands-on-keyboard” a acompanhar a execução automática. O Defender bloqueou tentativas de movimento lateral por SMB para outros equipamentos e detetou o comportamento de ligação a comando e controlo; a contenção automática isolou dispositivo e conta, mas a erradicação completa da persistência exigiu intervenção manual das equipas de resposta.
Indicadores e sinais a procurar
| Categoria | Indicador / artefacto |
|---|---|
| Infraestrutura de entrega | Páginas falsificadas em domínios .com.cn e .hl.cn, com instaladores regenerados a cada pedido |
| Comando e controlo | Protocolos de camada aplicacional em portos não convencionais: 5090, 7031, 7032, 7088–7090, 8050, 28290, 28300 |
| Adulteração de defesas | Add-MpPreference -ExclusionPath, política WDAC maliciosa, deteção Behavior:Win32/MpTamperGpDisableAVFriendly.A |
| Anti-recuperação | vssadmin delete shadows /all /quiet; serviços wuauserv, UsoSvc, uhssvc, WaaSMedicSvc parados e desativados |
| Persistência | Tarefas agendadas com /RL HIGHEST /RU "SYSTEM"; diretórios protegidos com icacls |
Os portos de comando e controlo listados foram observados numa carga útil de rede de fase posterior, pelo que a sua presença em tráfego de saída a partir de postos de trabalho merece investigação imediata. Do lado das deteções, a Microsoft indica alertas representativos como “Modification attempt in Microsoft Defender Antivirus exclusion list”, “Suspicious Task Scheduler activity”, “Potential C2 connection behavior” e “A process was injected with potentially malicious code”.
Quem está a ser atingido
A campanha visou utilizadores que procuravam descarregar software popular e resultou em comprometimentos em várias organizações e setores, afetando sobretudo operações sediadas na China de organizações multinacionais e utilizadores de língua chinesa, com vítimas na saúde, indústria, jogos, tecnologia, logística, administração pública e educação. A nota sobre multinacionais é o que torna o tema relevante para a Europa: basta uma filial ou um fornecedor com presença naquela região para o problema entrar numa rede corporativa com ligações a Portugal.
Um segundo caso, a mesma lógica: adware com um backdoor lá dentro
Poucos dias antes, investigadores da Kaspersky descreveram um esquema paralelo. O instalador analisado implanta uma versão modificada do QN Wallpaper, uma ferramenta chinesa de gestão de fundos de ecrã, adiciona-a às entradas de arranque automático do registo e usa-a para fazer DLL sideloading — técnica que permite executar código malicioso sob a aparência de um processo assinado; na versão original, o QN Wallpaper é adware genuíno que instala aplicações parceiras e mostra banners publicitários. A biblioteca abusada é o libcef.dll, e o instalador cria persistência e desativa o Windows Defender através da chave de registo DisableAntiSpyware antes de lançar o QnWallpaper.exe.
A Kaspersky refere que o ValleyRAT consegue detetar ferramentas de segurança e de análise de tráfego e que a campanha foi detetada mais de 100 mil vezes em 2026, afetando mais de 1500 utilizadores, sobretudo na China e na Índia; a atividade está associada ao Silver Fox, com motivações de espionagem e ganho financeiro. Em julho de 2026, a Cato CTRL documentou uma campanha do mesmo cluster contra um fabricante industrial japonês. Entre os artefactos partilhados pelos investigadores estão os ficheiros libcef.dll, QnWallpaper.exe e QnwPlayer.exe, o domínio qnwallpaper[.]keansoft[.]cn e os servidores de comando e controlo 103.45.66.18 (portos 441, 442 e 443) e 192.253.225.173 (portos 6666 e 8888).
Mitigações concretas
A Microsoft recomenda que as organizações deem prioridade a impedir descarregamentos a partir de fontes de software não confiáveis e garantam que proteções como o SmartScreen, a proteção de rede, a proteção contra adulteração e o Microsoft Defender XDR estão ativas. A tradução operacional para PME e equipas de TI passa por medidas simples:
- Centralizar a instalação de software num catálogo interno ou em repositórios oficiais, evitando pesquisas no motor de busca como ponto de entrada.
- Ativar e monitorizar a proteção contra adulteração, tratando qualquer alteração à lista de exclusões do antivírus como incidente até prova em contrário.
- Retirar direitos de administrador local aos utilizadores e auditar a criação de tarefas agendadas em contexto SYSTEM.
- Alertar sobre a eliminação de cópias sombra e sobre a paragem de serviços de atualização do Windows.
- Monitorizar tráfego de saída em portos não convencionais a partir de postos de trabalho.
- Nunca adicionar programas de origem duvidosa às listas de exclusão dos produtos de segurança e rever entradas de arranque automático, instalações inesperadas e ficheiros
libcef.dllsuspeitos junto de aplicações.
Porque é que isto importa em Portugal
O vetor descrito — descarregar software fora dos canais oficiais — é transversal e não depende do idioma da isca. Qualquer colaborador que instale um utilitário “gratuito” num portátil corporativo pode abrir a mesma porta. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2), a gestão de riscos deve incluir controlos de higiene básica como a gestão de software instalado, a limitação de privilégios e a capacidade de detetar adulteração de defesas — precisamente os pontos que esta campanha explora. O CNCS e o CERT.PT são os pontos de contacto nacionais para notificação e apoio em caso de incidente, e os indicadores acima podem ser usados em exercícios de threat hunting.
Há ainda uma dimensão de proteção de dados: um implante com acesso persistente e capacidade de movimento lateral pode resultar em acesso não autorizado a dados pessoais, o que ativa as obrigações de notificação previstas no RGPD perante a CNPD e, quando aplicável, os titulares dos dados. Para PME sem equipa de segurança dedicada, a lição prática é económica: bloquear descarregamentos fora de fontes oficiais custa muito menos do que responder a um endpoint sem cópias sombra e sem atualizações.
Perguntas frequentes
Como sei se descarreguei um instalador falso?
Verifique o domínio de onde veio o ficheiro. A campanha usa páginas falsificadas em domínios .com.cn e .hl.cn e instaladores gerados dinamicamente com hashes diferentes a cada descarregamento. Se o endereço não corresponde exatamente ao site oficial do fabricante, trate o ficheiro como suspeito e não o execute.
O Microsoft Defender consegue travar este ataque?
A Microsoft indica que a contenção automática isolou dispositivo e conta, mas que a erradicação total da persistência ainda exigiu ação das equipas de resposta. Ou seja, a deteção ajuda, mas não dispensa investigação e limpeza manual.
Quem é o grupo Silver Fox?
É um cluster de ameaça publicamente reportado, também conhecido por Yinhu, ao qual a Microsoft associa esta atividade com confiança moderada, sem a atribuir a um ator estatal. Segundo a Kaspersky, a sua atividade combina espionagem e motivação financeira.
Que ação imediata devo tomar numa PME?
Impedir descarregamentos de fontes não confiáveis e garantir que SmartScreen, proteção de rede, proteção contra adulteração e o Defender XDR estão ativos. Se houver suspeita de infeção, isole o equipamento da rede, preserve os registos e contacte o CERT.PT.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft (Microsoft Defender Experts) e pela Kaspersky (Securelist).