O Unit 42, equipe de inteligência de ameaças da Palo Alto Networks, reconstruiu em 13 de outubro de 2026 uma invasão do trojan bancário Casbaneiro — família também rastreada como Metamorfo e Ponteiro — em que um payload Delphi escondido atrás de um instalador assinado opera em paralelo com uma extensão maliciosa injetada no Chromium por fora da loja oficial. A infraestrutura dos dois componentes seguia ativa no fechamento da análise. Times que protegem endpoints Windows e navegadores Chromium em empresas com contas em bancos portugueses e brasileiros devem agir agora: bloquear os indicadores divulgados e criar alerta para toda execução do Chrome com parâmetro de carregamento manual de extensões.
O caso não depende de zero-day: a força da operação está em abusar de componentes legítimos — um cliente de acesso remoto verdadeiro, um utilitário assinado e o próprio mecanismo de extensões do navegador — para passar por baixo de defesas que só enxergam binários suspeitos. O Casbaneiro soma-se ao malware financeiro que pressiona a região, do qual o Hirudo, que troca apps de banco por versões adulteradas, é outro exemplo recente.
Como a invasão começa
O acesso inicial descrito pelo Unit 42 é um e-mail de phishing que convence a vítima a instalar o cliente de um produto legítimo de acesso remoto, obtido em um tenant de avaliação registrado pelos atacantes na nuvem do próprio fabricante. O cliente entra como serviço do Windows e dá aos operadores uma sessão persistente, da qual eles executam PowerShell direto na máquina. Artefatos de host registram o serviço com o nome ScreenConnect Client, acompanhado de um identificador de instância de 16 caracteres hexadecimais.
Dessa sessão, os operadores baixam dois pacotes em paralelo: um arquivo compactado com uma extensão do Chromium desempacotada, retirada de serviço público de compartilhamento, e um utilitário assinado junto de uma DLL maliciosa, servidos por domínio controlado pelo grupo. O domínio de entrega xdrivewin[.]com também hospeda a página de isca, que personaliza o link com o endereço de e-mail da vítima codificado no parâmetro cid — o mesmo truque de personalização que torna mensagens falsas de cobrança críveis.
Existe uma segunda linha de atividade, regional e mais ampla, documentada pela FortiGuard Labs em setembro de 2026. Nela, e-mails e PDFs falsos de cobranças e intimações judiciais levam a uma página com filtro geográfico: IP fora da região-alvo cai em Google ou YouTube; IP dentro dela recebe um ZIP embutido em Base64 no JavaScript da página. A cadeia segue com um downloader HTA e um loader AutoIt que injeta o payload final em processos legítimos do Windows. O trojan administra o momento de aparecer: o Casbaneiro só estabelece comunicação com o servidor de comando quando a vítima abre o site de um banco no navegador, e o servidor responde com HTTP 403 para simular infraestrutura inativa. Dados roubados seguem para servidores separados, em horários distintos, para dificultar a correlação em logs de rede.
O próprio Unit 42 não confirma vínculo operacional entre essa campanha regional de agosto e a intrusão analisada em outubro. As duas linhas devem ser tratadas como investigações separadas, ainda que compartilhem a família de malware e o foco em instituições financeiras.
Duas cargas em paralelo
No lado Windows, a DLL maliciosa é renomeada para zlibai.dll e colocada ao lado do VmLauncher.exe, utilitário assinado pela Caphyon, fabricante do Advanced Installer. A ordem de resolução do Windows faz o binário assinado carregar a DLL falsa, que exporta funções decorativas no estilo da zlib para satisfazer a tabela de imports, corrige em memória o ponto de entrada do processo hospedeiro e desvia a execução para o próprio manipulador. Esse manipulador oculta a janela do aplicativo, testa a conectividade e decifra comandos com rotina XOR apoiada numa tabela de chaves de 150 bytes, assinatura característica da família. O payload Delphi conversa com o servidor 190.2.184[.]201 nas portas 8082 e 8398.
No navegador, o Chrome é iniciado com o argumento –load-extension apontando para o diretório da extensão extraída. O manifesto segue o Manifest V3 e pede permissões de armazenamento, abas, webNavigation, scripting, activeTab e cookies, com scripts de conteúdo que casam com todas as URLs em todos os frames. A extensão nunca passa pela Chrome Web Store: sem chave pública e sem URL de atualização, ela existe apenas para injeção local. Na inicialização, busca um arquivo de texto simples no domínio resolvedor do grupo, n1.youconnectedssl[.]digital, para descobrir o endereço vigente do servidor WebSocket, gera um identificador de 10 caracteres em caixa alta e mantém a sessão com pings periódicos.
O canal WebSocket entrega comandos de captura de tela, recuperação de cookies e injeção ou remoção de HTML. Um script de conteúdo registra escuta em campos de formulário de todas as páginas: quando o campo perde o foco, URL, nome do campo, valor digitado e carimbo de tempo são exfiltrados; campos de senha são capturados incondicionalmente. A extensão ainda apaga o valor de registro que o Chrome usa para detectar adulteração de configurações, silenciando o aviso do navegador. Versões anteriores do código tinham nomes de função em português e capacidade de redirecionar a navegação, removida depois — sinal de manutenção ativa e de esforço deliberado para atrapalhar o agrupamento de amostras.
Cookies e senhas colhidos desse modo são o combustível direto da tomada de contas: sessões roubadas contornam credenciais fortes e fatores de autenticação baseados em posse. O caminho é o mesmo já visto quando logs de infostealer viram atalho para o SSO corporativo, e a resposta exige controle de sessão, não só de senha.
O que o painel revela
A extensão é comandada por um painel que os próprios operadores chamam de Painel Gangster, construído em Node.js com Express atrás de nginx, com rotas de API para gerenciar clientes, configurar overlays injetados, recuperar capturas de tela e cookies e silenciar notificações por integração com plataforma de mensagens. O nome apareceu em dados de painel enviados a repositório público de malware em setembro de 2025 e foi confirmado em hosts ativos, incluindo o servidor WebSocket contactado nesta intrusão, no endereço 216.203.21[.]119.
Os dados do painel exibiam uma lista de cerca de 65 portais bancários de Portugal e do Brasil, além de 11 plataformas de criptomoedas, provedores de webmail e endereços com typosquatting. O número descreve o alcance técnico observado do kit, não vítimas confirmadas — mas mostra com precisão onde a operação pretende lucrar. A infraestrutura foi dividida de propósito: plataforma da extensão, painel e payload Delphi ficam em provedores diferentes, e o certificado TLS do domínio resolvedor é curinga e troca de emissor a cada dois a três meses, o que derrota regras de caça baseadas em uma única autoridade certificadora.
Indicadores para caçar hoje
| Indicador | Papel na operação | Onde procurar |
|---|---|---|
| n1.youconnectedssl[.]digital | resolvedor que entrega o endereço do WebSocket | DNS, proxy de saída |
| euromasterx[.]com | entrega do utilitário assinado e da DLL falsa | proxy, logs web |
| xdrivewin[.]com | entrega da extensão e página de isca personalizada | gateway de e-mail, proxy |
| 190.2.184[.]201 | C2 do payload Delphi | egress, firewall |
| 216.203.21[.]119 | WebSocket C2 e painel do operador | egress, proxy |
| chrome.exe –load-extension | injeção manual da extensão no navegador | EDR, telemetria de processo |
| __ext_injected_overlay_wrapper_id_ e extbtn_submit | identificadores de overlays falsos | telemetria de navegador, DOM |
| Painel Gangster | auto-identificação do painel | varredura de hosts expostos |
Ações prioritárias de defesa
P1 — agora: bloqueie os indicadores da tabela em DNS, proxy e firewall; crie alerta para qualquer chrome.exe executado com –load-extension em estações corporativas, uso raro e quase sempre indevido; sinalize a exclusão do valor PreferenceMACs do Chrome e a presença de VmLauncher.exe fora de contexto de instalação legítima, ambos fortes indícios de side-loading; revise serviços de acesso remoto instalados sem registro de mudança, sobretudo em tenants de avaliação.
P2 — esta semana: procure os identificadores de overlay na telemetria de navegador para estimar exposição real; verifique hosts que falaram com os endereços de painel publicados e force reautenticação e rotação de sessões dos usuários atingidos, porque cookies roubados sobrevivem à troca de senha; treine equipes financeiras contra iscas de cobrança e intimação personalizadas com o próprio e-mail do destinatário; trione downloads iniciados por PowerShell a partir de sessões de acesso remoto como padrão de investigação imediata.
A lógica que fecha o caso é simples: se o ataque abusa de software legítimo, a detecção precisa acompanhar relações — quem instalou o quê, qual processo iniciou o navegador, qual domínio resolveu o WebSocket — em vez de confiar em assinaturas isoladas.