A Microsoft emitiu uma série de alertas de segurança sobre campanhas ativas de infostealers — programas maliciosos especializados no furto silencioso de credenciais — que visam diretamente os dados guardados nos navegadores Google Chrome e Microsoft Edge. Em 2025, este tipo de malware roubou milhares de milhões de credenciais, alimentando ondas de ransomware, phishing e violações de identidade a uma escala sem precedentes. O cenário afeta utilizadores domésticos, pequenas e médias empresas e organizações de todos os setores.
Em resumo: a Microsoft tem alertado para uma vaga de infostealers — malware especializado no furto silencioso de credenciais — que visa diretamente as palavras-passe e os dados guardados no Google Chrome e no Microsoft Edge. Entre as ameaças está o StilachiRAT, um trojan de acesso remoto revelado pela Microsoft em março de 2025, capaz de decifrar palavras-passe guardadas no Chrome e de vasculhar 20 extensões de carteiras de criptomoedas. O roubo de cookies de sessão permite ainda contornar a autenticação de dois fatores. A defesa passa por não guardar palavras-passe sensíveis no navegador, usar um gestor de palavras-passe dedicado e ativar proteções como o antivírus e a análise na nuvem.
O que são infostealers e porque são tão eficazes
Os infostealers são uma categoria de malware projetada com um único propósito: extrair o maior volume possível de dados sensíveis antes de serem detetados. Este tipo de ameaça não se limita a copiar palavras-passe guardadas — os exemplares mais modernos recolhem cookies de sessão, tokens de autenticação, dados de preenchimento automático, ficheiros de carteiras de criptomoeda, sessões de aplicações de mensagens e capturas de ecrã, empacotando tudo em registos que os criminosos vendem ou reutilizam.
O ponto crítico desta ameaça reside na forma como os navegadores armazenam as palavras-passe localmente. Quando guarda uma palavra-passe no Chrome, Firefox ou Edge, esta fica num ficheiro de base de dados local. Embora esse ficheiro esteja cifrado, a chave de decifração encontra-se no mesmo sistema, tornando trivial para um infostealer extrair todas as palavras-passe em texto simples em frações de segundo. Pior ainda: o roubo de cookies de sessão ativos permite que um atacante contorne a autenticação de dois fatores e aceda diretamente às contas da vítima — Google, redes sociais, plataformas de criptomoedas — sem necessitar da palavra-passe nem do código 2FA.
StilachiRAT: o trojan de acesso remoto que mira o Chrome
Em março de 2025, a equipa de Resposta a Incidentes da Microsoft identificou e divulgou publicamente o StilachiRAT, um trojão de acesso remoto com capacidades avançadas de furtividade. A Microsoft alertou que o StilachiRAT “demonstra técnicas sofisticadas para evitar a deteção, persistir no ambiente de destino e exfiltrar dados confidenciais”. As suas funcionalidades incluem a recolha de informações do sistema, a segmentação de carteiras digitais e a extração de credenciais de segurança.
No que respeita especificamente ao Chrome, o ataque pode “explorar dados de configuração de 20 extensões diferentes de carteiras de criptomoedas para o navegador Google Chrome” e também “extrair e decifrar credenciais guardadas no Google Chrome, obtendo acesso a nomes de utilizador e palavras-passe armazenados no navegador”. A Microsoft identificou carteiras visadas como a Trust Wallet, Bitget Wallet, TronLink, TokenPocket, BNB Chain Wallet e OKX Wallet, entre outras. O malware esconde-se dentro dos Serviços Windows predefinidos, o que facilita a evasão a análises de segurança e garante persistência após reinicializações do sistema.
Raven Stealer e a ameaça aos browsers baseados em Chromium
Mais recentemente, investigadores da Point Wild documentaram o Raven Stealer, um infostealer que demonstra que nem o Edge escapa a esta categoria de ataques. O Raven Stealer visa “navegadores baseados em Chromium, como o Chrome e o Edge, extraindo palavras-passe, cookies, dados de pagamento e entradas de preenchimento automático”. Este malware rouba ainda credenciais de diversas aplicações e realiza a exfiltração de dados em tempo real através de integração com bots de Telegram. O Raven Stealer é distribuído em fóruns clandestinos ou incluído em software pirateado, e a sua capacidade de contornar deteção antivírus básica representa riscos de segurança significativos.
StealC, Lumma e a industrialização do cibercrime
O cenário não se esgota em dois ou três nomes. O Amadey, ativo desde pelo menos 2018, opera como um malware-as-a-service (MaaS) e tem sido utilizado como mecanismo de entrega de malware subsequente, como o StealC, o Lumma Stealer, trojões de acesso remoto, mineradores de criptomoedas e, em alguns casos, ransomware.
O StealC, por sua vez, recorre a técnicas avançadas para contornar as proteções dos navegadores modernos. Para navegadores baseados em Chromium — como o Chrome, o Edge, o Brave ou o Opera —, o malware resolve o diretório de perfil do navegador e, para contornar a Encriptação Vinculada à Aplicação (ABE) do Chromium, injeta um payload embutido num processo suspenso, executando-o através de uma chamada de procedimento assíncrono. Quanto ao Lumma Stealer, a Microsoft observou o seu crescimento persistente e a sua sofisticação operacional ao longo do último ano, com múltiplos atores de ameaça financeiramente motivados a utilizá-lo para visar diversas indústrias. A técnica ClickFix, frequentemente utilizada na sua distribuição, leva os utilizadores a copiar e colar comandos maliciosos ao apresentar mensagens de erro falsas que simulam a resolução de um problema.
Como chegam ao seu computador
As vias de infeção são as habituais do ecossistema de infostealers: anexos e ligações de phishing, software pirata, falsos instaladores e, cada vez mais, a técnica ClickFix — em que a vítima é enganada para colar comandos maliciosos. Já vimos esta abordagem em casos como o ClickLock, que bloqueia o Mac até a vítima revelar a palavra-passe, ou o PamStealer, que se faz passar por um gestor de área de transferência.
Os vetores de infeção são variados e cada vez mais sofisticados. Falsas atualizações de browser ou de aplicações — que afirmam que o Chrome, Edge, Discord, Zoom ou outro software precisa de ser atualizado — são uma das vias mais comuns, assim como anexos de e-mail com isco de faturas, documentos de transporte ou comunicações jurídicas. A técnica ClickFix, que induz o utilizador a colar um comando no Terminal, no PowerShell ou na consola do navegador para “verificar” algo, é igualmente frequente. O software pirateado, os cheats de jogos e os ficheiros descarregados de fontes não oficiais completam o quadro de risco.
O que recomenda a Microsoft — e o que deve mesmo fazer
As recomendações da Microsoft passam por várias camadas de proteção. Em alguns casos, os trojões disfarçam-se de software legítimo ou de atualizações; por isso, deve sempre descarregar software do sítio oficial do fabricante ou de fontes reconhecidas, e utilizar o Microsoft Edge ou outros browsers que suportem o SmartScreen, que identifica e bloqueia sítios maliciosos, incluindo páginas de phishing e de distribuição de malware.
Além disso, há medidas concretas que qualquer utilizador pode adotar hoje mesmo:
- Não guarde palavras-passe no browser — utilize um gestor de palavras-passe dedicado (como Bitwarden, 1Password ou similar), que não armazena as credenciais num ficheiro local facilmente acessível.
- Ative a autenticação multifator robusta — prefira chaves de acesso (passkeys) ou aplicações autenticadoras a SMS, pois os cookies de sessão roubados podem contornar o 2FA baseado em código.
- Mantenha o sistema operativo e os browsers sempre atualizados — as atualizações corrigem vulnerabilidades exploradas por estes malwares.
- Desconfie de atualizações não solicitadas — nunca aceite uma atualização que apareça num sítio Web ou num anúncio; aceda sempre diretamente ao sítio oficial do fabricante.
- Utilize software de segurança endpoint atualizado — soluções com deteção comportamental são mais eficazes contra infostealers do que as baseadas apenas em assinaturas.
Contexto regulatório e relevância para Portugal
O furto de credenciais através de infostealers tem implicações diretas para o quadro regulatório nacional e europeu. Em Portugal, o Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para o ordenamento jurídico português, impõe obrigações reforçadas de gestão do risco de cibersegurança às entidades essenciais e importantes — incluindo a adoção de medidas técnicas e organizativas adequadas para prevenir precisamente este tipo de comprometimento de credenciais. O não cumprimento pode acarretar coimas significativas e responsabilidade civil.
Do ponto de vista da proteção de dados, o roubo de credenciais que resulte no acesso não autorizado a dados pessoais constitui uma violação de dados pessoais nos termos do RGPD, com obrigação de notificação à CNPD no prazo de 72 horas. O CNCS/CERT.PT disponibiliza recursos de apoio a organizações e cidadãos que suspeitem de comprometimento, em cncs.gov.pt.
Perguntas frequentes
O que é um infostealer?
É um tipo de malware desenhado para roubar silenciosamente informação sensível guardada no computador — sobretudo palavras-passe, cookies de sessão, dados de preenchimento automático e credenciais de carteiras de criptomoedas armazenadas nos navegadores. Os dados roubados são depois usados em ataques de ransomware, fraude ou vendidos em fóruns de cibercrime.
As minhas palavras-passe guardadas no Chrome estão seguras?
As palavras-passe guardadas no navegador são cifradas, mas malware como o StilachiRAT consegue decifrá-las quando já está a executar na sessão do utilizador. Por isso, guardar credenciais críticas — como as de bancos ou de criptomoedas — diretamente no Chrome ou no Edge é um risco. O mais seguro é usar um gestor de palavras-passe dedicado.
Como é que o roubo de cookies contorna a autenticação de dois fatores?
Quando inicia sessão numa conta, o serviço guarda um cookie de sessão que mantém o acesso ativo. Se um atacante roubar esse cookie, pode injetá-lo no seu próprio navegador e entrar na conta como se já estivesse autenticado — sem precisar da palavra-passe nem do código de dois fatores, porque a sessão já foi validada.
Como me protejo destes ataques?
Não guarde palavras-passe sensíveis no navegador; use um gestor de palavras-passe dedicado. Mantenha o antivírus e a proteção na nuvem ativos e atualizados, não instale software pirata nem execute comandos ou instaladores de origem duvidosa, e desconfie de páginas que peçam para colar comandos. Sempre que possível, adote passkeys em vez de palavras-passe.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft Security Blog, relatórios técnicos da Varonis Threat Labs e da Point Wild, e análises independentes publicadas pela Forbes.