Rootkit bancário brasileiro começa a infectar sistemas de 64 bits

Ontem, a Kaspersky detectou o primeiro rootkit banker (trojan que se camufla usando técnicas avançadas de programação para dificultar a detecção do antivírus) desenvolvido para infectar sistemas de 64 bits.

Ele foi encontrado a partir de um ataque de drive-by-download feito por cibercriminosos brasileiros por meio de um applet malicioso inserido em um site popular do país. O golpe explora falhas nas versões antigas do JRE (Java↳Java42 conteúdosNovidades do Java 26 (para desenvolvedores)Dev (Back & Front) · mar 2026Visual Studio Code para Java: o guia completo (dicas, configuração e extensões)Dev (Back & Front) · out 2025Quarkus: Modernizando a linguagem Java para a era da nuvemDev (Back & Front) · nov 2020Ver tudo em Dev (Back & Front) → Runtine Environment) e pode infectar máquinas com o Windows de 32 bits e com a versão de 64.

O esquema malicioso é simples: o rootkit desativa o UAC (Controle de Conta de Usuário) e muda o registro do Windows, adicionando uma Entidade Certificadora falsas (CAs) na máquina infectada. O ataque tem como principal objetivo redirecionar os usuários para páginas falsas de bancos brasileiros. A técnica permite exibir um “cadeado” de segurança (HTTPS) falso na barra de endereços do navegador – esse golpe está sendo utilizado pelos criminosos digitais brasileiros desde o ano passado.

A novidade do método de infecção é a utilização de uma ferramenta legítima do Windows (bcedit.exe) para a instalação de arquivos maliciosos na pasta de Drives, permitindo aos golpistas executar drivers não assinados em um sistema de 64 bits. Essa técnica foi descrita recentemente em golpes no exterior.

Após o registro dos drivers maliciosos, o malware executa dois comandos: altera o arquivo hosts do Windows, adicionando um redirecionamento para páginas falsas de banco, e remove o GBPlugin, um plugin bancário de proteção instalado por vários serviços de internet banking no Brasil.

A Kaspersky Lab já detecta os arquivos maliciosos desse ataque, como o Rootkit.Win64.Banker.a (64 bits), Rootkit.Win32.Banker.dy (32 bits) e o applet malicioso Trojan-Dropper.Java.Agent.e.