Criminosos brasileiros usam método conhecido como “BOM” para espalhar malware

Os cibercriminosos brasileiros tentam, constantemente, encontrar novas formas para enganar os usuários. A Kaspersky Lab, uma empresa internacional de cibersegurança↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps →, identificou uma inédita campanha de malware bancário utilizando o método BOM no Brasil. Esse esquema confunde scanners de e-mail e infecta os computadores das vítimas.

Segundo a empresa, esta é a primeira vez que a técnica é utilizada no País e tem como alvo correntistas brasileiros e chilenos. Essa técnica foi criada por criminosos russos para distribuir malware de sistemas Windows. A descoberta foi feita em 2013 e consiste em adicionar o prefixo BOM (Byte Order Mark) para evitar a detecção.

Campanhas de malware bancários dependem das famosas mensagens de phishing. Essas campanhas aumentam o número de vítimas. O desafio dos criminosos russos era confundir os scanners de e-mail. Por isso, eles criaram um arquivo .ZIP com cabeçalho modificado para conseguir entregar as mensagens maliciosas nas caixas de correio dos usuários, como mostra o exemplo a seguir.

Arquivo infectado

Ao tentar abrir o arquivo compactado, utilizando o visualizador padrão do Windows Explorer, o usuário verá uma mensagem de erro. Essa mensagem diz que o arquivo está corrompido. Ao analisá-lo, os especialistas da empresa de cibersegurança perceberam que o cabeçalho do ZIP continha três bytes extras (0xEFBBBF).

Esse bytes representam o método “BOM” antes da assinatura “PK” (0x504B), que é o padrão do ZIP. O BOM é encontrado normalmente em arquivos de texto com codificação UTF-8. A empresa alerta que algumas ferramentas não irão reconhecer este arquivo como um ZIP.

Ou seja, vão interpretá-lo como um arquivo de texto e não conseguirão abri-lo. Outros programas, como WinRAR e 7-Zip, simplesmente ignoram o prefixo e irão extrair o conteúdo corretamente. Se o usuário fizer isso, ele será infectado e o malware atuará como ponte para baixar o malware principal.

Após uma sequência de processos para evitar a detecção das ações maliciosas, o malware principal é baixado. Exemplo disso são variantes do malware Banking RAT, que fica inoperante na máquina da vítima, até que ela tente acessar seu Internet banking.

Neste momento, o malware começa a capturar tokens, código de acesso, data de nascimento, senha de acesso, entre outras maneiras de autenticação bancária. A Kaspersky Lab garante que os clientes da empresas estão seguros contra o malware. Mais informações sobre a ataque estão disponíveis no Securelist.com.