Pesquisadores de segurança cibernética identificaram uma nova campanha maliciosa que utiliza o WhatsApp como principal meio de disseminação do trojan bancário Astaroth, também conhecido como Guildma. O ataque tem como alvo principal usuários brasileiros e foi detalhado pela equipe da Acronis Threat Research Unit, que batizou a operação de “Boto Cor-de-Rosa”.
Como o vírus se espalha pelo WhatsApp
Após infectar um computador com Windows, o malware acessa a lista de contatos do WhatsApp da vítima e envia mensagens automaticamente com arquivos maliciosos para cada contato. Esse comportamento é semelhante ao de um worm, ampliando rapidamente a infecção sem a necessidade de interação manual do atacante.
O Astaroth continua utilizando Delphi em seu payload principal e Visual Basic no instalador. No entanto, o novo módulo responsável pela propagação via WhatsApp foi desenvolvido em Python, demonstrando a evolução técnica do malware e o uso de uma arquitetura modular com múltiplas linguagens.
Astaroth: um velho conhecido dos brasileiros
Ativo desde 2015, o Astaroth é um dos trojans bancários mais conhecidos da América Latina, com foco especial no Brasil. Seu principal objetivo é o roubo de credenciais bancárias e informações financeiras.
Em campanhas anteriores, o malware era distribuído principalmente por phishing via e-mail. Agora, os criminosos passaram a explorar a enorme popularidade do WhatsApp no país, transformando o aplicativo em um canal altamente eficaz para espalhar malwares bancários.
Outras campanhas semelhantes
Essa não é uma ação isolada. No mês anterior, a Trend Micro identificou campanhas do grupo Water Saci usando o WhatsApp para disseminar outros trojans bancários.
Já a Sophos, em relatório publicado em novembro de 2025, revelou estar monitorando a campanha STAC3150, na qual mais de 95% das infecções ocorreram no Brasil, com poucos casos registrados nos Estados Unidos e na Áustria.
Como ocorre a infecção
O método utilizado pelos criminosos segue um padrão simples, porém altamente eficaz:
- A vítima recebe um arquivo ZIP pelo WhatsApp.
- Ao extrair o conteúdo, executa um script em Visual Basic disfarçado de arquivo legítimo.
- Esse script inicia o download dos próximos estágios do ataque, que incluem:
- Um módulo em Python que envia automaticamente arquivos maliciosos para os contatos do WhatsApp.
- Um módulo bancário que monitora a navegação da vítima e é ativado ao acessar sites de bancos, roubando credenciais para fraudes financeiras.
Alerta de segurança
Com o uso crescente do WhatsApp como vetor de ataque, especialistas reforçam a importância de:
- Não abrir arquivos recebidos de contatos desconhecidos
- Desconfiar de mensagens com anexos inesperados
- Manter o antivírus e o sistema operacional atualizados
- Evitar executar arquivos ZIP ou scripts sem verificação
