Investigadores da Malwarebytes identificaram uma rede de 41 sites de descarregamento que usam um truque simples e eficaz: o botão de download contém um endereço legítimo — da Steam, da VideoLAN ou de outro fabricante — mas um script na página cancela essa navegação no momento do clique e encaminha o visitante para outro destino, através de uma cadeia de redirecionamento com identificadores de afiliado. Em todos os casos analisados, o software que acaba instalado é o mesmo: um gestor de descarregamentos chamado Download Studio, independentemente do programa ou jogo anunciado na página.
Resposta rápida: Uma rede de 41 páginas falsas de descarregamento mostra ligações verdadeiras para os sites oficiais, mas usa JavaScript para desviar o clique e entregar outro programa. As iscas vão de jogos como Counter-Strike e GTA VI a aplicações comuns como VLC, Avast, Acronis e Recuva. Passar o rato sobre o botão já não é garantia de nada: só o descarregamento feito diretamente no site oficial do fabricante oferece segurança. Nas organizações, restrinja a instalação de software por utilizadores comuns e reporte casos ao CERT.PT.
O link é verdadeiro. O destino não é.
O conselho clássico de segurança — passar o cursor sobre uma ligação e confirmar o endereço antes de clicar — assenta num pressuposto que estas páginas quebram deliberadamente: o de que o navegador irá seguir o endereço apresentado. Nestes sites, o atributo href aponta efetivamente para o recurso legítimo, mas existe um event handler de JavaScript associado ao botão que intercepta o clique. Em vez de seguir a ligação para a Steam, o script cancela a navegação esperada e envia o visitante através de um redirecionamento de afiliado; o URL legítimo serve apenas para tranquilizar, não é o destino real.
A encenação é cuidada. A página chega a incluir ligações para recursos genuínos da Steam no rodapé e apresenta-se como uma fonte direta de informação técnica — um verniz que desaparece assim que o botão de descarregamento é premido. Num dos exemplos analisados, uma cópia falsa da página do VLC Media Player vai ainda mais longe: coloca um endereço genuíno de descarregamento da VideoLAN dentro do botão e identifica os servidores da VideoLAN como origem do ficheiro. Na altura da investigação, a versão 3.0.23 era a versão atual da VideoLAN, pelo que a informação mostrada ao visitante podia ser inteiramente correta: o link pode ser real, a versão pode ser real, o programador pode estar corretamente identificado — e depois o manipulador de cliques anula tudo isso, enviando o utilizador para o Download Studio em vez de permitir que o navegador obtenha o VLC junto da VideoLAN. Detalhe irónico: essa mesma isca do VLC recomenda ao utilizador que verifique a assinatura digital do instalador antes de o executar.
Das iscas de videojogos ao software de segurança
O caso do Counter-Strike não é isolado: nos 41 sites identificados, a marca e o programa anunciado mudam, mas os visitantes são sempre empurrados para o mesmo software. Um dos sites, designado GTA 6 PLAY, afirma disponibilizar uma versão para PC do Grand Theft Auto VI, com instruções de instalação, requisitos de sistema e tudo o que se esperaria de uma página real de descarregamento de um jogo. A promessa é impossível de cumprir: a Rockstar lista atualmente o GTA VI para PlayStation 5 e Xbox Series X|S, com data de lançamento a 19 de novembro de 2026, e não anunciou uma versão para PC.
O alcance da operação vai muito além dos jogos. Outras iscas visam produtos de segurança, cópias de segurança e recuperação de dados, incluindo Avast, Acronis e Recuva — ou seja, quem procura software comum, ou até software para proteger ou recuperar o computador, pode acabar a instalar um programa que nunca pediu.
| Tipo de isca | Exemplos documentados | Destino real |
|---|---|---|
| Videojogos | Counter-Strike (via Steam), GTA VI (site “GTA 6 PLAY”) | Download Studio |
| Aplicações Windows comuns | VLC Media Player (VideoLAN) | Download Studio |
| Segurança, backup e recuperação | Avast, Acronis, Recuva | Download Studio |
O que é realmente instalado
Depois de seguirem o processo de descarregamento, os visitantes recebem instruções para instalar o Download Studio: o software anunciado é a isca, a instalação do Download Studio é o objetivo. Quanto ao artefacto em si, a amostra obtida durante a investigação é um instalador Windows de cerca de 73 MB, assinado por “Grand Media, TOV”, com assinatura que valida corretamente, e a análise observou a instalação e o arranque da própria interface e dos componentes de torrent do programa. O programa associa-se a ficheiros torrent e ligações magnet, o instalador inclui uma opção para o tornar cliente de torrent predefinido e a instalação ativa o atualizador automático.
É importante sublinhar os limites da análise: os investigadores afirmam que não estabeleceram que o Download Studio seja, em si, malware; o que a campanha demonstra é que pessoas à procura de um programa estão a ser conduzidas de forma enganosa para instalar outro. O redirecionamento inclui rastreio de afiliado, o que sugere a existência de um incentivo comercial.
Porque é que o historial de 2020 pesa nesta análise
A ativação do atualizador automático não é um pormenor inócuo. Em 2020, investigadores da Avast concluíram que as atualizações automáticas do Download Studio tinham sido usadas para distribuir silenciosamente o FakeMBAM, uma backdoor disfarçada de instalador da Malwarebytes, entregue e executada em segundo plano tal como uma atualização legítima, sem que os utilizadores iniciassem conscientemente a instalação. Essa backdoor podia descarregar malware adicional e as cargas persistentes observadas pela Avast eram mineradores de criptomoeda.
A análise técnica da Avast, à data, apontava para semelhanças de código relevantes. Ao fazer engenharia inversa do Download Studio, os investigadores verificaram que as atualizações da aplicação eram executadas a partir de um diretório temporário cujo nome corresponde à expressão regular ds-\d{7}\.tmp, coincidente com os metadados das deteções do falso instalador. Como notavam então, as atualizações automáticas trazem um risco adicional porque permitem aos programadores enviar código arbitrário para as máquinas dos utilizadores, que muitas vezes não têm alternativa senão confiar.
Um padrão mais vasto: sequestro de cliques e sistemas de distribuição de tráfego
Esta campanha encaixa num ecossistema que outros investigadores já mapearam em 2026. A Check Point Research documentou que o fenómeno de sites que imitam projetos de código aberto e freeware já era conhecido no final de 2025 — a Fullstory reportou em novembro de 2025 um grande conjunto de domínios fraudulentos sem identificar abuso direto nas amostras então examinadas — mas o ecossistema evoluiu: pelo menos desde dezembro de 2025 os sites passaram a integrar scripts de TDS no seu fluxo e, a partir do início de janeiro de 2026, registou-se distribuição ativa de malware pela mesma infraestrutura.
O mecanismo é o mesmo em espírito: as páginas carregam scripts de TDS alojados na CloudFront que transformam o primeiro clique em “Download” numa cadeia de encaminhamento pós-clique. Esse sistema aplica verificações anti-bot, anti-análise, filtragem de VPN e centros de dados e limitação de frequência, e a cadeia de redirecionamento é dinâmica, com a carga final a depender da geografia, da impressão digital do navegador e da configuração do sistema. Entre as famílias identificadas, os investigadores associaram infeções por RemusStealer, AnimateClipper e um novo loader designado SessionGate. Um alerta particularmente incómodo para profissionais: um subconjunto de alto risco desses sites imita ferramentas de engenharia inversa como o Ghidra e o dnSpy, usadas por investigadores de segurança e analistas de malware.
| Data | Acontecimento |
|---|---|
| Outubro de 2020 | Avast documenta o FakeMBAM distribuído através das atualizações automáticas do Download Studio |
| Novembro de 2025 | Fullstory reporta um grande conjunto de domínios fraudulentos que imitam projetos de software |
| Dezembro de 2025 | Check Point observa scripts de TDS integrados nesses sites |
| Janeiro de 2026 | Distribuição ativa de malware pela mesma infraestrutura |
| Junho de 2026 | Check Point publica a análise do ecossistema de sequestro de cliques e TDS |
| 19 de agosto de 2026 | Malwarebytes divulga a rede de 41 sites que desviam o clique para o Download Studio |
Medidas concretas de mitigação
- Escreva sempre o endereço oficial do fabricante no navegador, ou use um marcador guardado, em vez de clicar em resultados de pesquisa ou anúncios patrocinados.
- Não confie apenas na pré-visualização do URL: nesta campanha, o endereço mostrado é verdadeiro e o desvio ocorre no clique. Se a página final não for o domínio do fabricante, cancele o descarregamento.
- Desconfie de assinaturas digitais válidas de entidades que nada têm que ver com o produto procurado — uma assinatura válida prova quem assinou, não que o software é o que procurava.
- Ofertas impossíveis (por exemplo, versões para PC de jogos que não existem para PC) são um sinal de alerta imediato.
- Nas organizações: retire privilégios de administrador local, aplique listas de permissões de aplicações (allowlisting), bloqueie clientes de torrent e centralize a distribuição de software num repositório interno aprovado.
- Se um destes programas já foi instalado, desinstale-o, desative o respetivo atualizador automático, verifique tarefas agendadas e execute uma análise completa ao sistema.
Porque é que isto importa em Portugal
Para o cidadão comum, o problema é de confiança: a heurística que muitos aprenderam — verificar o link antes de clicar — deixou de ser suficiente quando o desvio acontece do lado do JavaScript. Para as PME, o risco é operacional: software instalado fora dos canais oficiais introduz atualizadores automáticos de terceiros que podem, no futuro, entregar código arbitrário aos postos de trabalho, como aconteceu no caso documentado em 2020.
Esse ponto liga-se diretamente às obrigações do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), que coloca a segurança da cadeia de fornecimento e a gestão de risco no centro das medidas exigidas às entidades abrangidas. Controlar que software entra nos sistemas — e por que via — é matéria de segurança da cadeia de fornecimento, não apenas de higiene digital individual. Se o programa instalado abrir caminho a um infostealer, o incidente pode transformar-se numa violação de dados pessoais com deveres de notificação à CNPD ao abrigo do RGPD.
Em Portugal, o CERT.PT, serviço do Centro Nacional de Cibersegurança, é o ponto de contacto para reportar estes casos. Qualquer pessoa ou organização pode reportar um incidente ao CERT.PT, incluindo a descoberta de websites fraudulentos que procuram enganar potenciais vítimas. O reporte pode ser feito através do endereço [email protected] ou da plataforma MyCiber. Vale a pena recordar que o próprio CNCS tem sido alvo de abuso de marca: em junho de 2026, alertou para uma campanha que usava o seu nome em falsas notificações de vulnerabilidades críticas, com o objetivo de levar as vítimas a descarregar um ficheiro malicioso, sublinhando que não envia mensagens a pedir a instalação de ficheiros. O denominador comum é sempre o mesmo: uma marca de confiança usada como embalagem para algo que o utilizador nunca pediu.
Perguntas frequentes
Verificar o endereço da ligação antes de clicar ainda serve para alguma coisa?
Continua a ser útil, mas deixou de ser suficiente. Nesta campanha, o endereço apresentado no botão é genuíno e o desvio só acontece no momento do clique, através de JavaScript. A verificação decisiva passou a ser confirmar em que domínio o ficheiro é efetivamente descarregado.
O Download Studio é malware?
Os investigadores da Malwarebytes afirmam expressamente que a sua análise não estabeleceu que o Download Studio seja malware. O problema identificado é o método de distribuição enganoso e o facto de o programa ativar um atualizador automático que, em 2020, foi documentado pela Avast como veículo de uma backdoor.
Existe mesmo uma versão do GTA VI para PC?
Não segundo a informação pública da Rockstar, que lista o jogo para PlayStation 5 e Xbox Series X|S com lançamento a 19 de novembro de 2026, sem anúncio de versão para PC. Qualquer site que ofereça um download para PC deve ser tratado como fraudulento.
O que deve fazer uma PME portuguesa que detete estas instalações?
Desinstalar o software, desativar atualizadores de terceiros, analisar os postos afetados e rever credenciais que possam ter sido expostas. Deve ainda reportar o incidente ao CERT.PT, por email ou pela plataforma MyCiber, e avaliar se houve acesso a dados pessoais, o que pode desencadear deveres de notificação à CNPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Malwarebytes, pela Check Point Research, pela Avast Threat Labs e pelo CNCS/CERT.PT.