Não é preciso um exploit sofisticado nem um zero-day para roubar as palavras-passe de uma organização: basta que alguém clique duas vezes num ficheiro que acabou de descarregar. É essa a conclusão central de uma análise divulgada em junho de 2026 pela equipa de Digital Footprint Intelligence (DFI) da Kaspersky, que examinou 5 milhões de ficheiros de log de infostealers encontrados na dark web ao longo de 2025 e reconstituiu a origem dos ficheiros maliciosos nas máquinas comprometidas. O local mais frequente de execução foi a pasta temporária do Windows — o destino habitual dos ficheiros descarregados pelo browser antes de o utilizador os guardar em qualquer outro sítio.
Resposta rápida: A Kaspersky analisou 5 milhões de logs de infostealers publicados na dark web em 2025 e concluiu que cerca de 35% das infeções partiram de ficheiros executados diretamente da pasta temporária do Windows (C:\Users\<utilizador>\AppData\Local\Temp\), sinal de que muitas vítimas abrem os ficheiros imediatamente após o download. Outros 32% dos casos apontam para técnicas mais avançadas de injeção de processos. Em Portugal, o CERT.PT indica que os infostealers dominaram o malware detetado em 2025. A ação recomendada: bloquear execução a partir de pastas temporárias, não instalar software «craqueado», ativar autenticação multifator e, em caso de infeção, limpar o dispositivo antes de mudar credenciais.
O que 5 milhões de logs revelaram
Os investigadores da Kaspersky DFI analisaram 5 milhões de ficheiros de log de infostealers descobertos na dark web em 2025 — registos que contêm dados furtados a dispositivos comprometidos, como credenciais de contas, cookies de browser e metadados de sistema, e que revelam também a localização original dos ficheiros maliciosos nas máquinas infetadas. A localização mais comum foi a diretoria temporária do Windows, C:\Users\<User>\AppData\Local\Temp\, responsável por aproximadamente 35% de todos os casos observados.
A leitura é desconfortável para quem investe sobretudo em tecnologia: esta pasta serve normalmente para armazenar ficheiros descarregados da internet antes de serem explicitamente guardados pelo utilizador, o que indica que uma parte significativa das infeções ocorre quando as pessoas lançam diretamente os ficheiros descarregados, sem que os atacantes precisem de recorrer a técnicas de evasão sofisticadas. O segundo local mais frequente, com cerca de 32% dos casos, foi C:\Windows\Microsoft.NET\Framework\, caminho associado a injeção de processos e a técnicas living-off-the-land, em que o malware abusa de processos legítimos do sistema para escapar à deteção.
| Local de execução observado | Peso aproximado | Leitura técnica |
|---|---|---|
C:\Users\<utilizador>\AppData\Local\Temp\ | ~35% | Ficheiro descarregado e executado de imediato pelo utilizador |
C:\Windows\Microsoft.NET\Framework\ | ~32% | Injeção de processos e abuso de binários legítimos |
Segundo Sergey Shcherbel, especialista da Kaspersky Digital Footprint Intelligence, as infeções por infostealers subiram 59% em 2025 face ao ano anterior e o comportamento do utilizador continua a ser um fator determinante: o volume de amostras executadas a partir de pastas temporárias de download sugere que os ficheiros são abertos imediatamente após serem obtidos e que, em muitos casos, os atacantes não precisam de técnicas sofisticadas — basta convencer alguém a executar um ficheiro.
Como se disfarçam as famílias mais ativas
A análise identificou padrões de nomenclatura distintos entre as principais famílias, úteis para equipas de deteção que trabalham com telemetria de endpoint. O Lumma tende a preferir nomes genéricos de instalador, ofuscação .NET e injeção de processos; o Vidar aparece tipicamente em variantes de Bootstrapper.exe apoiadas em loaders convencionais; o Stealc segue uma estratégia mista, com nomes aparentemente legítimos como Licence_Version_Loader.exe e também nomes gerados aleatoriamente; o RisePro destaca-se por convenções recorrentes como MPGPH.exe e MSIUpdater.exe.
Estes nomes não devem ser tratados como IOC definitivos — são padrões observados, facilmente alterados pelos operadores —, mas ajudam a construir regras de caça a ameaças. Mais relevante é o gatilho comportamental: a análise indica que as infeções estão frequentemente ligadas a duas ações de risco do utilizador, descarregar software de fontes não confiáveis e tentar ativar software ilegalmente, sendo que em muitos casos as vítimas seguem instruções dos atacantes e desativam o software de segurança antes de executar o ficheiro malicioso.
O que outros investigadores observaram em 2026
Os dados mensais do AhnLab Security Intelligence Center (ASEC) confirmam a mesma mecânica de distribuição. Em junho de 2026, famílias como Remus, ACRStealer, LummaC2 e Vidar foram distribuídas com recurso a envenenamento de resultados de motores de busca e disfarçadas de software ilegal, com os vetores principais a serem ficheiros EXE e DLL side-loading, alojados em plataformas de armazenamento na nuvem. Nesse mês, cerca de 84,5% dos casos envolveram ficheiros EXE e 15,5% DLL side-loading, com DLLs como python37.dll, LcMgr.dll e python315.dll. Em maio, o infostealer Remus começou a ser distribuído em larga escala, representando 36% de toda a distribuição de malware por esse método no mês.
O macOS também deixou de ser terreno seguro: em junho, o ASEC observou o uso de ClickFix — a técnica que induz o utilizador a copiar e executar comandos maliciosos no Terminal — e o download de scripts Bash maliciosos, incluindo uma variante que passou a obter dinamicamente endereços de comando e controlo consultando smart contracts na blockchain Polygon e que se mantinha persistente através de um ficheiro .plist como LaunchAgent.
| Fase | O que acontece |
|---|---|
| 1. Isco | Resultado patrocinado ou envenenado num motor de busca, publicação em rede social, «crack», mod de jogo ou anexo comprimido |
| 2. Download | Ficheiro EXE (ou par EXE + DLL) guardado na pasta temporária do browser |
| 3. Execução | Utilizador abre o ficheiro de imediato; em alguns casos desativa antes o antivírus por instrução do atacante |
| 4. Recolha | Captura de credenciais guardadas, cookies e tokens de sessão, dados de autopreenchimento e documentos |
| 5. Exfiltração e revenda | Envio para infraestrutura do atacante e publicação do log em mercados clandestinos |
Portugal: os infostealers já são a norma, não a exceção
O fenómeno não é distante. Num alerta público sobre o tema, o Centro Nacional de Cibersegurança (CNCS) afirmou que «em 2025, cerca de 80% do código malicioso detetado pelo CERT.PT foi do tipo infostealer», descrevendo-o como uma ameaça que recolhe credenciais pessoais e profissionais, dados guardados nos browsers, emails e documentos, segundo o comunicado citado pela imprensa nacional. Na sua página sobre o contexto atual, o CNCS refere ter detetado um aumento muito significativo destes incidentes, com os infostealers a representarem mais de 80% da atividade de malware observada no terceiro trimestre de 2025 e com a variante Agent Tesla a corresponder a um terço do código malicioso observado em 2024.
O CNCS explica também porque é que este tipo de código é tão atrativo para o cibercrime: reduz significativamente o custo inicial de intrusão na infraestrutura da vítima para a realização posterior de ataques mais rentáveis, como o ransomware, já que com credenciais válidas os atacantes dispensam metodologias mais complexas ou morosas para obter acesso inicial. O organismo acrescenta que a fronteira entre o risco individual e o risco organizacional se diluiu com a popularização do trabalho remoto, com colaboradores a usar os mesmos dispositivos para fins pessoais e profissionais. Nas tendências traçadas no seu Relatório de Cibersegurança, o CNCS aponta precisamente a intensificação da ameaça dos infostealers e da comercialização de credenciais, ao lado do aumento de ataques a infraestruturas em nuvem e do uso ofensivo de IA generativa.
Medidas concretas de mitigação
- Bloquear execução em pastas de escrita do utilizador: aplicar regras de controlo aplicacional (por exemplo AppLocker ou WDAC) que impeçam executáveis de correr a partir de
%TEMP%,%LOCALAPPDATA%\Tempe pastas de downloads. - Eliminar a tentação do software pirateado: fornecer alternativas licenciadas e alertar que a ativação ilegal é um dos principais vetores identificados nos logs analisados.
- Reduzir o valor do que é roubado: o CNCS recomenda usar o browser em modo de navegação anónima por defeito, remover periodicamente cookies e tokens, limitar funções de autopreenchimento e evitar guardar credenciais de contas no browser.
- Separar mundos: não guardar credenciais profissionais num gestor de palavras-passe pessoal, não descarregar software de páginas de origem duvidosa e usar autenticação multifator, preferencialmente resistente a phishing.
- Tratar a infeção, não só a senha: o CNCS avisa que, se este malware for detetado, não basta alterar as palavras-passe comprometidas — é essencial garantir que o dispositivo fica totalmente limpo, pois o infostealer pode continuar ativo e a recolher novos dados. Invalidar sessões e tokens ativos é igualmente indispensável.
- Monitorizar exposição: procurar credenciais corporativas em coleções de logs e integrar essa vigilância nos processos de resposta a incidentes.
Porque é que isto importa em Portugal
Para as empresas nacionais, um log de infostealer é frequentemente o primeiro capítulo de um incidente grave: credenciais de VPN, contas de correio ou consolas cloud roubadas de um portátil pessoal podem transformar-se, semanas depois, num acesso não autorizado com exfiltração de dados. Com o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), um universo mais amplo de entidades passa a ter deveres reforçados de gestão de risco e de notificação de incidentes significativos ao CNCS — e a gestão de credenciais e de acessos é um dos domínios onde essa exigência se materializa de forma mais direta.
Há ainda a dimensão de proteção de dados: se as credenciais furtadas derem acesso a dados pessoais de clientes, colaboradores ou utentes, o incidente pode constituir uma violação de dados pessoais ao abrigo do RGPD, com a obrigação de notificar a Comissão Nacional de Proteção de Dados no prazo de 72 horas quando exista risco para os direitos e liberdades dos titulares. Para PME com poucos recursos, a mensagem prática desta investigação é encorajadora, dentro do possível: a maior fatia das infeções não exige defesas exóticas. Impedir que ficheiros descarregados corram diretamente da pasta temporária, reduzir o que o browser guarda e formar as pessoas para desconfiarem de instaladores «gratuitos» cobre a maior parte do caminho.
Perguntas frequentes
O que é um infostealer?
É código malicioso concebido para recolher dados sensíveis em computadores e telemóveis, incluindo credenciais de acesso a contas pessoais e profissionais, cookies e tokens guardados nos browsers, emails e documentos. Os dados são compilados em ficheiros chamados «logs» e frequentemente vendidos em mercados clandestinos.
Porque é que a pasta Temp aparece em tantas infeções?
Porque é o local onde o browser coloca ficheiros descarregados antes de o utilizador os guardar noutro sítio. Quando o ficheiro é executado a partir daí, isso indica que a vítima o abriu imediatamente após o download, sem qualquer técnica avançada de evasão por parte do atacante.
Basta mudar as palavras-passe depois de uma infeção?
Não. O CNCS alerta que é essencial garantir que o dispositivo fica totalmente limpo, porque o malware pode continuar ativo a recolher novas credenciais. Além da reinstalação ou limpeza do equipamento, devem ser invalidadas sessões e tokens ativos e ativada autenticação multifator.
Uma PME em Portugal tem obrigações legais se houver roubo de credenciais?
Pode ter. Se o acesso indevido envolver dados pessoais, aplica-se o dever de notificação à CNPD em 72 horas quando haja risco para os titulares. Entidades abrangidas pelo Regime Jurídico da Cibersegurança têm ainda deveres de gestão de risco e de notificação de incidentes significativos ao CNCS.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Kaspersky Digital Footprint Intelligence, pelo AhnLab Security Intelligence Center (ASEC) e pelo Centro Nacional de Cibersegurança / CERT.PT.