Infostealer: o malware que rouba senhas salvas no navegador

O que é um infostealer e por que ele virou a principal ameaça às credenciais

Infostealer, ou "ladrão de informações", é um tipo de malware feito para coletar dados sensíveis de um computador e enviá-los ao atacante em poucos segundos. Ao contrário do ransomware, ele não trava arquivos nem exibe mensagem de resgate. Ele age em silêncio: entra, copia o que interessa e, em muitos casos, apaga os próprios rastros. O usuário continua trabalhando normalmente, sem perceber que suas senhas, cookies de sessão e dados de navegação já estão em um servidor controlado por criminosos.

O alvo preferido é o navegador. Chrome, Edge, Firefox e outros guardam senhas salvas, dados de preenchimento automático, cartões de crédito, histórico e cookies de sessão. Para o usuário isso é prático, porque não precisa digitar a senha toda vez. Para o infostealer, é um cofre concentrado em um único lugar. Famílias como RedLine, Raccoon, Vidar, StealC e Lumma (também chamado de LummaC2) ficaram conhecidas justamente por automatizar essa coleta em larga escala. Já existem variantes para macOS, como o Atomic Stealer.

O modelo de negócio explica a expansão. Boa parte desses malwares é vendida como serviço, com assinatura mensal, painel de controle e suporte técnico. Quem compra não precisa saber programar: basta distribuir o arquivo malicioso e recolher os chamados "logs", que são pacotes com tudo o que foi roubado de cada máquina. Esses logs são revendidos em mercados clandestinos e canais de Telegram e acabam servindo de porta de entrada para ataques maiores, como invasão de e-mail corporativo, fraude financeira e ransomware.

Como o infostealer chega até os computadores da empresa

A infecção quase nunca depende de uma falha técnica sofisticada. Na maior parte dos casos, o próprio usuário executa o arquivo, enganado por uma isca bem montada. Os criminosos investem em engenharia social e em canais com bastante tráfego para alcançar o maior número possível de vítimas. Os vetores mais comuns são:

• Anúncios maliciosos (malvertising): anúncios patrocinados em buscadores que imitam sites de softwares populares, como leitores de PDF, ferramentas de acesso remoto ou aplicativos de videoconferência.
• Softwares piratas e "cracks": ativadores de Windows e Office, versões "liberadas" de programas pagos e mods de jogos estão entre os veículos mais usados.
• Phishing com anexos ou links: e-mails que imitam boletos, notas fiscais, intimações ou propostas comerciais e levam ao download de um arquivo compactado.
• Falsos CAPTCHAs (técnica ClickFix): páginas que pedem para o usuário "provar que é humano" colando um comando na janela Executar do Windows. Na prática, ele mesmo instala o malware.
• Vídeos e repositórios falsos: tutoriais no YouTube e projetos em plataformas de código que prometem ferramentas gratuitas e distribuem o instalador infectado.

Um ponto que preocupa as empresas é o uso de dispositivos pessoais. Um colaborador que acessa o e-mail corporativo ou o sistema de gestão pelo computador de casa, onde a família instala jogos e programas sem controle, expõe as credenciais da empresa ao mesmo risco. O infostealer não diferencia senha pessoal de senha corporativa: leva todas.

Outro fator que facilita a infecção é o usuário com privilégio de administrador local. Quando qualquer pessoa pode instalar qualquer programa, a barreira entre "clicar em um link" e "comprometer a máquina" praticamente some.

O que é roubado e por que a autenticação em dois fatores nem sempre basta

Em poucos segundos de execução, um infostealer costuma extrair um volume grande de informações. Um log típico reúne senhas salvas em todos os navegadores instalados, cookies de sessão, dados de preenchimento automático (nome, CPF, endereço, telefone), cartões salvos, carteiras de criptomoedas, arquivos de determinadas pastas, capturas de tela e um inventário do sistema, com nome do usuário, IP, versão do Windows e antivírus instalado.

Os cookies de sessão são a parte mais perigosa. Quando você faz login em um serviço e conclui a autenticação em dois fatores, o site grava um cookie que comprova que aquela sessão já foi validada. Se o atacante copia esse cookie e o importa no próprio navegador, consegue entrar na conta como se fosse você, sem precisar da senha e sem passar pelo segundo fator. Essa técnica, chamada de sequestro de sessão (session hijacking), explica por que empresas com MFA ativo ainda sofrem invasões de e-mail e de sistemas em nuvem.

Um infostealer não precisa quebrar a sua senha nem burlar o seu MFA. Ele copia o resultado de um login que já foi feito e reutiliza essa sessão de outro lugar.

Os fabricantes reagiram. O Google, por exemplo, introduziu no Chrome a criptografia vinculada ao aplicativo (App-Bound Encryption), que dificulta a leitura dos dados do navegador por outros processos. Os autores de infostealers, porém, adaptaram suas ferramentas em pouco tempo, e o ciclo de proteção e contorno continua. Por isso a defesa não pode depender de um único controle do navegador.

O impacto em escala já foi demonstrado em casos reais. Em 2024, uma série de ataques a clientes da plataforma de dados Snowflake foi atribuída ao uso de credenciais roubadas por infostealers, algumas coletadas anos antes e nunca trocadas. Em 2025, uma ação coordenada da Microsoft com autoridades de vários países desmantelou parte da infraestrutura do Lumma, que havia infectado centenas de milhares de computadores Windows em poucos meses.

Sinais de alerta e o que fazer se houver suspeita de infecção

Como o objetivo do infostealer é passar despercebido, os sinais costumam ser indiretos e aparecer depois do roubo. Fique atento a alertas de login em local ou dispositivo desconhecido, regras de encaminhamento ou de exclusão criadas na caixa de e-mail sem explicação, mensagens enviadas pela conta que o usuário não reconhece, pedidos de redefinição de senha que ninguém fez e avisos do antivírus sobre arquivos recém-baixados. Credenciais da empresa aparecendo em serviços de monitoramento de vazamentos também indicam um problema.

Diante da suspeita, a ordem das ações importa. Trocar a senha a partir da própria máquina infectada pode simplesmente entregar a nova senha ao atacante. O roteiro recomendado é:

1. Isolar o computador da rede imediatamente, sem desligá-lo, para preservar evidências e interromper a comunicação com o servidor do atacante.
2. Revogar todas as sessões ativas do usuário nos serviços corporativos, como Microsoft 365 e sistemas em nuvem. Assim os cookies roubados deixam de funcionar.
3. Redefinir as senhas a partir de um dispositivo limpo, começando pelas contas mais críticas: e-mail, administrador, banco e ERP.
4. Revisar a caixa de e-mail em busca de regras maliciosas, encaminhamentos externos e aplicativos autorizados recentemente.
5. Analisar ou reinstalar o equipamento antes de devolvê-lo ao usuário, já que alguns infostealers instalam outros malwares como carga secundária.
6. Avaliar o alcance: quais sistemas eram acessados daquela máquina e quais senhas estavam salvas no navegador.

Como proteger os computadores da empresa contra infostealers

Não existe uma ferramenta única que resolva o problema. A proteção vem de camadas que reduzem a chance de infecção e, principalmente, diminuem o valor do que pode ser roubado. A primeira decisão é parar de usar o navegador como cofre de senhas corporativas. Por meio de políticas do Windows (GPO) ou do Microsoft Intune, é possível desativar o salvamento de senhas no Chrome e no Edge e adotar um gerenciador de senhas corporativo, com cofre criptografado, controle de acesso e auditoria.

A segunda frente é reforçar a autenticação para que a credencial roubada valha pouco. As medidas que mais fazem diferença são:

• MFA resistente a phishing, como chaves FIDO2 e passkeys, no lugar de códigos por SMS.
• Acesso Condicional no Microsoft Entra ID, exigindo dispositivo gerenciado e em conformidade para acessar dados da empresa. Assim um cookie usado de uma máquina estranha é barrado.
• Sessões com validade controlada e reautenticação em operações sensíveis.
• Monitoramento de logins de risco, com alertas para acessos de países ou provedores incomuns.

A terceira frente é dificultar a execução do malware: remover o privilégio de administrador local dos usuários, manter Windows e navegadores atualizados, usar uma solução de EDR como o Microsoft Defender for Endpoint, aplicar controle de aplicativos para bloquear executáveis não autorizados e filtrar downloads e domínios maliciosos. Por fim, o treinamento contínuo dos colaboradores fecha o ciclo. Saber reconhecer um anúncio falso, desconfiar de "cracks" e nunca colar comandos sugeridos por um site evita boa parte das infecções.

Proteção contínua com a Duk Informática & Cloud

Combater infostealers exige olhar para o ambiente como um todo: estações de trabalho, identidades, e-mail, nuvem e comportamento dos usuários. Configurar políticas de navegador, Acesso Condicional, EDR e gerenciamento de dispositivos de forma coerente, e manter tudo isso monitorado no dia a dia, é um trabalho que muitas empresas não conseguem sustentar só com a equipe interna.

A Duk Informática & Cloud atua como parceira de TI de mais de 550 empresas, com mais de 18 anos de experiência e certificação Microsoft Gold Partner. Implementamos e gerenciamos as camadas de proteção descritas neste artigo, do endurecimento das estações e do Microsoft 365 à resposta rápida quando há suspeita de credenciais comprometidas, com suporte 24/7 e SLA definido.

Se a sua empresa ainda depende de senhas salvas no navegador ou não sabe quantos computadores têm usuários com privilégio de administrador, este é um bom momento para revisar o ambiente. Fale com a Duk e descubra como reduzir a exposição da sua operação ao roubo de credenciais.