Abrir uma fatura ou um comprovativo de pagamento que chega por e-mail é um gesto que se repete todos os dias em empresas e casas portuguesas. É precisamente esse gesto que está a ser explorado por duas campanhas de malware. A equipa Red Cell da WatchGuard descreve-as numa investigação publicada a 22 de outubro: as vítimas estão sobretudo em Portugal e as campanhas usam scripts VBScript ofuscados e programas legítimos do Windows para passarem despercebidas e darem aos atacantes acesso remoto aos computadores infetados.
Resposta rápida: A WatchGuard analisou três campanhas de malware assentes em VBScript. Duas atingem sobretudo utilizadores em Portugal, com o trojan bancário Lampion e um trojan de acesso remoto escondido numa falsa página de «Download Seguro – Factura». Não está em causa nenhuma vulnerabilidade: o ataque depende de a vítima abrir ficheiros ZIP, ISO ou VBS. Recomendamos que desconfie de faturas inesperadas, confirme sempre a origem diretamente com o remetente e, nas empresas, bloqueie a execução de scripts ofuscados e reforce a monitorização dos postos de trabalho.
Três campanhas, duas com alvo em Portugal
A investigação publicada no blogue Secplicity da WatchGuard, assinada por Euler Neto, mostra como os criminosos combinam phishing, scripts ofuscados e componentes legítimos do Windows para entregar cargas maliciosas enquanto evitam a deteção. A primeira das três operações dirige-se ao Brasil, com falsos avisos de cartórios que entregam o Overlord RAT. As outras duas interessam diretamente ao público português: ambas têm vítimas identificadas em Portugal. Uma está associada ao trojan bancário Lampion e a terceira usa infraestrutura de rede localizada no Brasil.
Segundo a fabricante, os atacantes recorrem a mensagens e páginas redigidas em português para tornarem os ataques mais credíveis. Documentos associados a pagamentos servem de isco, com o objetivo de levar as vítimas a descarregar ou executar ficheiros que iniciam cadeias de infeção.
Lampion: o «comprovativo» que abre a porta
O Lampion é um velho conhecido em Portugal. Este malware bancário de origem brasileira foi documentado publicamente pela primeira vez em dezembro de 2019, deriva da linhagem ChePro e tem visado de forma consistente Portugal e outros utilizadores lusófonos, em vez de vítimas brasileiras.
Na campanha agora analisada, os ataques começam com e-mails de phishing que trazem ficheiros ZIP com nomes como «COMPROVATIVO». Nos casos analisados, os ZIP contêm páginas HTML com ligações para scripts VBS alojados em serviços de cloud legítimos, como o AWS S3 e o Google Drive. Para dificultar a análise, os scripts vêm carregados de lixo: alguns chegam a cerca de 5 MB, quando a lógica executável ocupa apenas uns 5 KB. No fim da cadeia, o Lampion instala uma componente de acesso remoto que pode permitir controlar o equipamento e extrair dados.
Os resultados da WatchGuard coincidem com outras análises recentes. Em julho, a Threat Research Unit da Acronis descreveu uma vaga do Lampion que se concentra esmagadoramente em vítimas em Portugal (94,6% das deteções), com iscos em português e personificação de empresas locais para ganhar credibilidade. Espanha representou 4,3% das deteções e o Reino Unido 1,1%, o que os investigadores consideram um efeito colateral provável e não um alvo deliberado. Antes disso, a Microsoft já tinha documentado uma variante em que um ZIP com um ficheiro HTML encaminhava as vítimas para um falso site da Autoridade Tributária, onde estava alojado o isco ClickFix.
«Download Seguro – Factura»: um falso CAPTCHA e um ficheiro da VMware
A terceira campanha é tecnicamente mais elaborada. Uma página falsa intitulada «Download Seguro – Factura» mostra um CAPTCHA fraudulento que leva o visitante a descarregar um ficheiro ISO. Lá dentro há um VBScript ofuscado e o executável legítimo vnetlib.exe, da VMware, que é usado para carregar uma DLL maliciosa por DLL side-loading.
A biblioteca maliciosa chama-se newdev.dll, o mesmo nome de uma DLL legítima do Windows ligada à instalação de controladores. Quando o vnetlib.exe a carrega, o código malicioso desencripta outra DLL de 64 bits escrita em Pascal. Essa carga consegue executar comandos, transferir ficheiros, controlar o rato e o teclado e transmitir o ecrã da vítima. Também cria uma entrada no registo do Windows para manter o acesso depois de o sistema reiniciar. A campanha comunica com um servidor alojado no Brasil, embora as vítimas identificadas estejam em Portugal.
Os investigadores encontraram semelhanças entre as campanhas, mas avisam que as conclusões não permitem afirmar que um único grupo controla as três operações.
Indicadores e técnicas a vigiar
Não há identificadores CVE nem pontuações CVSS associados, porque estas campanhas não exploram falhas de software. Dependem de engenharia social e do abuso de ferramentas legítimas. A tabela reúne os artefactos que, à data, pudemos confirmar em mais de uma fonte:
| Tipo | Indicador / técnica | Campanha |
|---|---|---|
| Isco | ZIP com nome «COMPROVATIVO» contendo HTML | Lampion (Portugal) |
| Alojamento | Scripts VBS no AWS S3 e no Google Drive | Lampion (Portugal) |
| Isco | Página «Download Seguro – Factura» com falso CAPTCHA e ficheiro .iso | RAT desconhecido (Portugal) |
| Executável legítimo abusado | vnetlib.exe (VMware) | RAT desconhecido (Portugal) |
| DLL maliciosa | newdev.dll, com exportação RunAgent na carga desencriptada | RAT desconhecido (Portugal) |
| Executáveis legítimos abusados | vlc.exe, ngentask.exe | Overlord RAT (Brasil) |
| Endereço C2 | 45[.]158[.]8[.]213 | Overlord RAT (Brasil) |
Em conjunto, as campanhas mostram um padrão comum: a persistência é garantida por tarefas agendadas e alterações ao registo, e a deteção é contornada com exclusões no Microsoft Defender e verificações de ambientes virtualizados.
Cronologia
| Data | Acontecimento |
|---|---|
| Dezembro de 2019 | Primeira documentação pública do Lampion |
| 2025 | A Microsoft documenta uma variante do Lampion com isco ClickFix num falso site da Autoridade Tributária |
| 26 de maio de 2026 | A WatchGuard reporta uma campanha do Grandoreiro com DLL side-loading dirigida a bancos em Portugal |
| Junho/julho de 2026 | A Acronis deteta e publica uma nova vaga do Lampion, com 94,6% das deteções em Portugal |
| 22 de outubro de 2026 | A WatchGuard Red Cell publica a análise das três campanhas VBScript |
Como se proteger
A WatchGuard recomenda desconfiar de mensagens inesperadas com faturas ou comprovativos, sobretudo quando trazem ficheiros ZIP ou ligações para downloads suspeitos, e verificar a origem antes de abrir anexos ou ligações. Para cidadãos e equipas, isto traduz-se em medidas simples:
- Confirmar qualquer fatura inesperada por telefone ou por um contacto já conhecido do fornecedor, e nunca através dos dados que vêm na mensagem.
- Não abrir ficheiros
.vbs,.isoou ZIP com HTML lá dentro quando dizem ser documentos financeiros. Uma fatura verdadeira chega normalmente em PDF ou fica disponível no portal do fornecedor. - Desconfiar de páginas que pedem um «CAPTCHA» para descarregar uma fatura ou que mandam colar comandos no Windows.
- Nas empresas, desativar ou restringir o Windows Script Host onde não seja necessário, bloquear a montagem de imagens ISO vindas da Internet e, para quem usa Defender, ativar a regra de redução da superfície de ataque que bloqueia a execução de scripts potencialmente ofuscados.
- Vigiar exclusões novas no antivírus, tarefas agendadas fora do normal e executáveis legítimos (VMware, VLC) a correr a partir de pastas temporárias.
Porque é que isto importa em Portugal
Estes ataques foram pensados para o contexto português: usam vocabulário como «comprovativo» e «factura» e fazem-se passar por entidades e empresas nacionais. Isso faz deles uma ameaça direta para PME, gabinetes de contabilidade e serviços administrativos, onde abrir faturas faz parte da rotina. Um trojan de acesso remoto num posto de trabalho pode expor credenciais bancárias, dados de clientes e acessos a sistemas internos.
Se o computador comprometido tiver dados pessoais, a organização pode ter de avaliar se houve uma violação de dados ao abrigo do RGPD e, se for caso disso, notificar a CNPD no prazo de 72 horas. Já as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) têm obrigações de gestão de risco e de notificação de incidentes significativos ao CNCS. A formação contra o phishing e a monitorização dos postos de trabalho fazem parte dessas medidas. Cidadãos e organizações podem reportar incidentes e mensagens suspeitas ao CERT.PT, a equipa de resposta a incidentes do Centro Nacional de Cibersegurança.
Perguntas frequentes
O que é o Lampion?
É um trojan bancário de origem brasileira, documentado desde dezembro de 2019, que visa sobretudo utilizadores em Portugal. Espalha-se por e-mails com falsos documentos financeiros e instala uma componente de acesso remoto capaz de roubar dados.
Estas campanhas exploram alguma vulnerabilidade do Windows?
Não. Não há CVE associado. Os ataques dependem de a vítima abrir ficheiros ZIP, ISO ou VBS e abusam de programas legítimos, como o vnetlib.exe da VMware, para carregar DLL maliciosas.
Como reconheço uma falsa fatura?
Há vários sinais de alerta: mensagens inesperadas, anexos ZIP ou ISO em vez de PDF, ligações para páginas com falsos CAPTCHA e pedidos para executar ficheiros. Na dúvida, confirme com o fornecedor através de um contacto que já conhece.
O que fazer se abri um destes ficheiros?
Desligue o equipamento da rede, avise a equipa de informática e mude as palavras-passe a partir de outro dispositivo, sobretudo as da banca online. Reporte o incidente ao CERT.PT e, numa organização, avalie se é preciso notificar a CNPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela WatchGuard (Secplicity/Red Cell), pela Acronis Threat Research Unit e pela Microsoft Security.