Revisado em por Roberto Lima
Neste artigo
Infostealers se tornaram uma das ameaças mais impactantes para organizações em 2026. Diferente de ransomware, que anuncia sua presença, infostealers operam em silêncio absoluto — extraem credenciais, cookies, tokens e dados sensíveis sem que a vítima perceba.
O resultado aparece semanas ou meses depois: contas corporativas comprometidas, acessos vendidos em marketplaces da dark web e incidentes que ninguém sabe explicar como começaram.
O que são infostealers
Infostealers são malwares projetados especificamente para extrair informações sensíveis de sistemas comprometidos e exfiltrá-las para servidores controlados pelo atacante. Operam de forma rápida e discreta — muitos executam em segundos, coletam tudo e se autodestroem.
O que infostealers roubam
Credenciais de navegadores
Navegadores Chromium (Chrome, Edge, Brave) armazenam senhas em bancos SQLite criptografados com DPAPI (Windows). Infostealers extraem a master key e decriptam todo o banco de senhas em sequência. Firefox usa NSS com perfil próprio, também vulnerável.
Cookies de sessão
Por que cookies são tão valiosos
Cookies de sessão permitem session hijacking: o atacante importa os cookies no próprio browser e acessa contas autenticadas sem precisar de senha ou MFA. O serviço vê o cookie válido e concede acesso como se fosse o usuário legítimo. Isso afeta e-mail corporativo, cloud consoles (AWS, Azure), SaaS e qualquer serviço web.
Tokens e chaves
- Tokens de API: GitHub, GitLab, Slack, Discord, cloud providers
- Chaves SSH: acesso a servidores sem senha
- Certificados: client certificates para VPNs e serviços autenticados
- Tokens de sessão MFA: bypass de autenticação multifator em alguns contextos
Dados sensíveis
- Preenchimento automático: nomes, endereços, cartões de crédito salvos no browser
- Carteiras de criptomoedas: MetaMask, Exodus, Electrum, keystores Ethereum
- Arquivos de configuração: .env, terraform.tfstate, docker-compose com credenciais
- Gerenciadores de senhas: vaults locais do KeePass, dados exportados
Dados de infraestrutura (em ataques avançados)
- Credenciais cloud: AWS (access keys, IMDS, ECS task roles), GCP, Azure
- Kubernetes: service account tokens, secrets de namespaces
- CI/CD: configurações de GitLab CI, Jenkins, Travis com segredos embutidos
- Bancos de dados: connection strings com credenciais em MySQL, PostgreSQL, Redis
Arquitetura em 3 camadas
Infostealers modernos operam em estágios distintos, cada um com função específica:
3 estágios de execução
- Estágio 1 — Dropper: ponto de entrada que decodifica e executa o payload principal. Opera inteiramente em memória — nunca toca o disco — dificultando detecção por antivírus baseado em assinaturas
- Estágio 2 — Stealer: coleta dados silenciosamente. Varre diretórios sensíveis (/home, /root, /opt, .config), extrai credenciais de browsers, copia chaves SSH e tokens. Criptografa tudo com AES-256 + RSA-4096 antes de exfiltrar
- Estágio 3 — C2 Agent: backdoor persistente instalada como serviço do sistema. Faz polling periódico para o servidor C2, recebe e executa comandos arbitrários. Sobrevive a reinicializações
A exfiltração usa criptografia híbrida: AES-256-CBC para os dados + RSA-4096 para a chave de sessão. Apenas o atacante possui a chave privada RSA para decriptar — mesmo que o tráfego seja capturado, os dados não são legíveis por terceiros.
Vetores de distribuição
Phishing e malvertising
O vetor mais comum: e-mails com anexos maliciosos ou links para downloads de software “crackeado”, atualizações falsas e ferramentas gratuitas trojanizadas. Engenharia social convence o usuário a executar o payload.
Supply chain attack
Infostealers embutidos em pacotes legítimos de repositórios como PyPI, npm e RubyGems. O código malicioso executa durante a instalação (pip install, npm install) — antes mesmo de o desenvolvedor usar a biblioteca. A segurança de supply chain é crítica para mitigar esse vetor.
SEO Poisoning e fake software
- Sites falsos posicionados no topo do Google para downloads de software popular
- Versões trojanizadas de ferramentas como OBS, VLC, 7-Zip, Notepad++
- Resultados patrocinados (Google Ads) apontando para domínios maliciosos
Telegram e Discord como distribuição
Canais de Telegram e servidores Discord distribuem infostealers disfarçados de cheats de jogos, ativadores de software e ferramentas de “hack”. Público jovem e técnico é o alvo principal.
Caso real: infostealer via supply chain
LiteLLM Supply Chain Attack (março 2026)
Versões comprometidas do LiteLLM (v1.82.7-1.82.8) no PyPI continham infostealer em 3 estágios. O LiteLLM é um gateway centralizado para APIs de IA — por design, tem acesso a credenciais de múltiplos provedores cloud.
O dropper executava em memória durante o pip install, coletava chaves SSH, credenciais AWS/GCP/Azure, tokens Kubernetes, configs de CI/CD e carteiras crypto. Em ambientes Kubernetes, criava pods privilegiados para escalar para root no nó físico. O C2 agent se instalava como serviço systemd e fazia polling a cada 50 minutos.
Lição: ferramentas de IA/ML com acesso amplo a credenciais são alvos de alto valor. A verificação de hash do pacote confirma que o arquivo é o publicado no PyPI — não que o conteúdo é seguro.
Famílias de infostealers mais ativas
Principais famílias em 2025-2026
- Lumma Stealer: MaaS (Malware-as-a-Service) dominante. Foco em credenciais de browser, crypto wallets e 2FA tokens. Distribuído via malvertising e fake CAPTCHA
- Redline Stealer: um dos mais prolíficos. Rouba credenciais, cookies, autofill, FTP, VPN. Vendido em fóruns por US$100-200/mês
- Raccoon Stealer v2: retornou após operação do FBI. Extrai dados de 60+ aplicações incluindo browsers, e-mail clients e carteiras crypto
- Vidar: focado em browsers e gerenciadores de senhas. Usa Telegram e Steam como dead-drop para recuperar endereço do C2
- Aurora/Stealc: nova geração em Go e Rust, mais difíceis de detectar por EDRs tradicionais
Modelo de negócio: Malware-as-a-Service
A maioria opera como MaaS: o desenvolvedor cria e mantém o malware; “clientes” pagam assinatura mensal (US$100-300) e recebem painel de controle, builder para gerar payloads customizados e suporte. Os dados roubados são organizados em “logs” vendidos em marketplaces especializados.
Impacto nas organizações
Comprometimento de contas corporativas
Um colaborador infectado em máquina pessoal (BYOD) que acessa e-mail e cloud corporativo via browser expõe todas as credenciais salvas. O atacante compra os “logs” e acessa o ambiente corporativo com credenciais válidas — sem disparar alertas de brute force.
Bypass de MFA via cookies
Com cookies de sessão válidos, o atacante ignora completamente MFA. O serviço reconhece a sessão autenticada e não solicita segundo fator. É um dos motivos pelos quais MFA sozinho não é suficiente.
Acesso inicial para ransomware
Credenciais roubadas por infostealers são frequentemente o acesso inicial que leva a ataques de ransomware semanas depois. Os grupos de ransomware compram logs em bulk de IABs (Initial Access Brokers).
Custo financeiro e reputacional
O custo de um vazamento causado por credenciais roubadas inclui resposta a incidentes, rotação massiva de credenciais, investigação forense, notificação à ANPD e perda de confiança de clientes.
Estratégias de defesa
Detecção no endpoint
- EDR/XDR: detecção comportamental de processos acessando bancos de credenciais do browser, leitura de DPAPI keys, enum de vaults
- AppLocker/WDAC: controle de execução por whitelist — bloqueia binários não autorizados
- Credential Guard: isola credenciais em enclave, impedindo extração por malware em user space
Monitoramento de credenciais vazadas
- Serviços de threat intelligence que monitoram dark web marketplaces por credenciais corporativas
- Alerts automáticos quando domínios da empresa aparecem em dumps de infostealers
- Integração com SIEM para correlação: credencial vazada + login anômalo = alerta crítico
Políticas de sessão e acesso
- Sessões curtas: tokens de sessão com TTL reduzido (1-4h), forçando re-autenticação
- Binding de sessão: vincular cookie ao device fingerprint (IP, user agent, hardware)
- MFA resistente a phishing: FIDO2/Passkeys não podem ser extraídos por infostealers
- Conditional access: bloquear acesso de dispositivos não gerenciados (MDM)
Segurança de supply chain
- Pinning de versões em requirements.txt / package.json
- Verificação de integridade além do hash (análise de diff entre versões)
- Repositórios privados com proxy e scanning (Artifactory, Nexus)
- SBOM (Software Bill of Materials) para rastrear dependências
Conscientização
Usuários precisam entender que baixar software crackeado, cheats ou ativadores é o vetor #1 de infostealers. Treinamento de conscientização deve cobrir riscos de downloads não oficiais, fake ads no Google e anexos suspeitos.
Resposta a compromisso por infostealer
Playbook de resposta
- 1. Tratar a máquina infectada como totalmente comprometida — reimaging, não apenas limpeza
- 2. Rotação imediata de todas as credenciais acessadas pelo browser infectado
- 3. Invalidar todas as sessões ativas (force logout em todos os serviços)
- 4. Revogar chaves SSH, tokens de API e certificados
- 5. Auditar CloudTrail/Activity Logs por acessos anômalos com as credenciais comprometidas
- 6. Monitorar dark web por logs da organização nas semanas seguintes
Considerações finais
Infostealers são o elo entre um clique descuidado e um incidente corporativo completo. Eles não pedem resgate, não criptografam arquivos, não se anunciam — simplesmente coletam tudo e saem.
A defesa exige camadas: proteção no endpoint, monitoramento de credenciais, políticas de sessão, segurança de supply chain e conscientização. Tratar uma infecção por infostealer como “apenas um malware removido” ignora que todas as credenciais do sistema estão nas mãos do atacante.
Perguntas Frequentes
É um malware projetado para extrair informações sensíveis: credenciais de browsers, cookies de sessão, tokens, chaves SSH, carteiras crypto e arquivos de configuração. Opera silenciosamente e exfiltra dados para servidores do atacante.
Navegadores Chromium armazenam senhas em SQLite criptografado com DPAPI. Infostealers extraem a master key e decriptam todo o banco. Em alguns casos, copiam os arquivos diretamente e decriptam offline.
Sim. Cookies de sessão permitem session hijacking: o atacante acessa contas autenticadas sem senha ou MFA. O serviço vê o cookie válido e concede acesso normalmente. Afeta e-mail, cloud consoles e qualquer SaaS.
Combine EDR/XDR com detecção comportamental, monitoramento de credenciais na dark web, sessões curtas com re-autenticação, MFA resistente a phishing (FIDO2), controle de execução, segurança de supply chain e conscientização sobre downloads maliciosos.
Fontes e referências técnicas
- SpyCloud — Annual Identity Exposure Report 2025
- Mandiant — M-Trends 2025: Threat Landscape
- Gutem — Anatomia de um Infostealer Moderno: Três Camadas, Uma Botnet
- MITRE ATT&CK — T1555 (Credentials from Password Stores), T1539 (Steal Web Session Cookie)
- MITRE ATT&CK — T1195.002 (Supply Chain Compromise: Software)
- Group-IB — Infostealer Market Intelligence
- Recorded Future — Stolen Credentials and Initial Access Brokers
Suas credenciais estão na dark web?
Monitoramos marketplaces, fóruns e canais onde logs de infostealers são vendidos. Detecte compromissos antes que se tornem incidentes.
Solicitar Diagnóstico
