Novo vírus avança contra bancos, rouba senhas e usa o Telegram para entregar dados aos criminosos

Um novo movimento no ecossistema do cibercrime está acendendo o alerta no setor financeiro. O PXA Stealer, malware voltado ao roubo silencioso de credenciais, dados bancários e ativos digitais, registrou aumento de até 10% nos ataques contra instituições financeiras no primeiro trimestre de 2026, de acordo com a CyberProof, empresa especializada em detecção de ameaças cibernéticas que acompanha as campanhas dessa ferramenta maliciosa.

O crescimento chama atenção porque o PXA não surgiu como um nome tradicionalmente dominante entre os infostealers. Ele começou a ganhar espaço justamente depois que operações policiais de grande repercussão desarticularam, em 2025, dois dos malwares mais usados nesse mercado: RedLine e Lumma. Com essas ferramentas fora de circulação, grupos de ameaça passaram a migrar para alternativas, e o PXA se consolidou como uma delas.

Esse tipo de ameaça pertence à categoria dos infostealers, malwares especializados em coletar dados de forma discreta dentro do sistema infectado. O foco está em informações altamente sensíveis, como credenciais, dados bancários e chaves de acesso a carteiras de criptomoedas. O avanço do PXA mostra que, mesmo quando grandes operações derrubam nomes já conhecidos do crime digital, o espaço deixado por eles tende a ser rapidamente ocupado por novas ferramentas.

Como o PXA Stealer entra no sistema

O ponto de partida da infecção, segundo o material monitorado, é o e-mail de phishing. As campanhas utilizam mensagens que imitam comunicações legítimas e exploram o senso de urgência da vítima. Entre os formatos usados estão formulários fiscais, documentos jurídicos e até supostos instaladores do Adobe Photoshop.

Um dos arquivos recorrentes nesses ataques é o “Pumaproject.zip”. É a partir da abertura desse arquivo que a armadilha é ativada. A execução do malware ocorre em camadas, numa tentativa clara de evitar detecção e prolongar a permanência da ameaça no equipamento.

Depois de acionado, o PXA cria no sistema uma pasta oculta chamada “Dots” e usa a senha “shodan2201” para descompactar seus componentes mais perigosos. Em seguida, adota uma técnica de camuflagem que torna a identificação mais difícil: ele renomeia seus arquivos principais como “svchost.exe”, nome de um processo legítimo do Windows e comum em qualquer máquina. Com isso, o malware se mistura aos processos normais do sistema e reduz as chances de ser percebido por um observador casual.

Persistência e disfarce tornam a ameaça mais perigosa

Um dos pontos mais preocupantes no comportamento do PXA é a forma como ele garante permanência no computador comprometido. A persistência é mantida por meio do registro do Windows, com a inclusão de uma entrada que faz o malware reiniciar automaticamente a cada novo boot da máquina.

Na prática, isso significa que a infecção pode sobreviver mesmo depois que o computador é desligado e religado. O usuário, muitas vezes, continua usando a máquina aparentemente sem notar sinais evidentes, enquanto o programa malicioso permanece ativo em segundo plano. Essa combinação entre disfarce, reinicialização automática e coleta silenciosa de dados transforma o PXA em uma ameaça particularmente eficiente.

O que está sendo roubado

O objetivo central do PXA Stealer é capturar informações que tenham valor financeiro direto. Uma vez instalado, o malware passa a coletar senhas salvas em navegadores, chaves privadas de carteiras de criptomoedas e também dados de acesso a plataformas financeiras específicas.

O risco é elevado porque as chaves privadas de carteiras digitais permitem acesso e transferência de fundos sem necessidade de senha. Em outras palavras, quando esse tipo de dado é comprometido, o criminoso pode alcançar os ativos digitais com autonomia suficiente para movimentá-los.

Segundo os pesquisadores, o material roubado é organizado internamente com um BOT_ID identificado como “Verymuchxbot”. Depois disso, os dados são enviados aos operadores do esquema criminoso por meio de canais do Telegram. O uso do aplicativo como infraestrutura de C2, sigla para comando e controle, é apontado como uma tendência crescente entre grupos de ameaça, em razão da facilidade de uso e da dificuldade de rastreamento.

O que observar para reduzir o risco

A CyberProof aponta o ceticismo como primeira linha de defesa. Na prática, isso significa desconfiar de mensagens que tentem impor urgência ou que tragam anexos comprimidos em formatos como “.zip” e “.rar”.

Também merecem atenção conexões de rede em segundo plano para domínios com terminações como “.xyz” ou “.shop”, que podem indicar exfiltração em andamento. Outro sinal importante é o surgimento inesperado de arquivos “.vbs” ou “.js”, formatos de script que, segundo a recomendação apresentada, não costumam aparecer em uso cotidiano.

O avanço do PXA Stealer mostra, portanto, que o cibercrime continua se reorganizando com rapidez. A queda de ferramentas antigas não significou retração do problema, mas apenas uma mudança de peças. Agora, com ataques crescendo contra instituições financeiras e com dados sendo enviados diretamente via Telegram, o alerta volta a se concentrar no ponto mais sensível de qualquer operação digital: a proteção das credenciais e dos ativos financeiros.