Alguém da sua equipe precisa instalar um programa comum: o leitor de PDF, o compactador de arquivos, o aplicativo de reunião. Digita o nome no buscador, clica no primeiro resultado e encontra uma página com a cara do fabricante e um botão enorme de download. O arquivo desce, o instalador roda, a barra de progresso anda até o fim e nada parece estranho. É exatamente essa cena que a Microsoft descreve ao detalhar uma campanha de malware em atividade, que já provocou comprometimentos em organizações de setores bem diferentes.
O que muda o jogo para quem tem empresa não é o vírus em si, e sim o que ele faz nos primeiros minutos. Em vez de chamar atenção, ele trabalha para desarmar a máquina: interrompe o serviço de atualização do Windows, cria exceções no Microsoft Defender, apaga os pontos de restauração do próprio sistema e deixa tarefas agendadas para voltar sempre que for desligado. Quando alguém finalmente estranha a lentidão, o computador já perdeu quem o defendia.
A cópia perfeita que entrega o instalador falso
Os sites usados na campanha são clones de alta fidelidade das páginas oficiais. Layout igual, textos no lugar, um convite ao download em posição de destaque. A hospedagem aparece em domínios com terminação .com.cn e .hl.cn, e o conteúdo em chinês serve de isca para que o visitante baixe um arquivo compactado. Nada ali grita fraude para quem está com pressa.
O detalhe mais engenhoso está no arquivo em si. O nome do pacote se mantém o mesmo a cada visita, mas a impressão digital dele muda sempre, sinal de que o conteúdo é gerado no servidor, sob medida, a cada pedido. Isso derruba boa parte da defesa baseada em listas de arquivos maliciosos já conhecidos, porque nunca se trata do mesmo arquivo duas vezes. Antivírus que dependem apenas de assinatura ficam olhando para algo inédito.
Ao abrir o pacote, o usuário encontra um instalador falso com nome sem sentido aparente. Executado, ele libera a primeira carga. A Microsoft observou ainda um segundo caminho, que se apoia no próprio serviço de instalação do Windows, o msiexec.exe, para disparar um executável de nome aleatório com o mesmo disfarce.
Desligar a atualização é o verdadeiro estrago
Depois de instalado, o programa malicioso cria tarefas agendadas com nomes que lembram rotinas de TI ou de produtividade, para passar despercebido em qualquer inspeção rápida. Uma dessas tarefas roda com o nível mais alto de privilégio do sistema e usa o PowerShell para cadastrar exclusões no Defender, apagar cópias de sombra e alterar as permissões das pastas em que se instalou, de modo que um usuário comum não consiga removê-las.
Em seguida vem a parte que mais deveria preocupar o dono do negócio: o ataque interrompe e desabilita os serviços responsáveis pelas atualizações do Windows, entre eles wuauserv, UsoSvc, uhssvc e WaaSMedicSvc, renomeia bibliotecas usadas nesse processo e limpa a pasta de cache das atualizações. Traduzindo: aquela máquina deixa de receber correção de segurança. Ela não fica só infectada; fica congelada no tempo, exposta a qualquer falha que a Microsoft venha a corrigir depois.
Fechado esse cerco, o computador passa a conversar com servidores de comando controlados pelos criminosos, usando portas fora do padrão, como 5090, 7031 e 28290. Duas centrais de controle ligadas à campanha foram identificadas. Para uma rede sem vigilância, esse tráfego é apenas mais um ruído no meio do dia. A Microsoft afirma que o objetivo final da campanha não ficou claro, porque o Defender detectou a atividade e acionou a contenção automática.
Quem foi atingido e por que isso importa aqui
As vítimas mapeadas estão em saúde, indústria, jogos, tecnologia, logística, governo e educação. Segundo a Microsoft, o foco recaiu sobre operações chinesas de empresas multinacionais e sobre usuários que falam chinês. Com confiança moderada, a empresa relaciona a atividade a um grupo conhecido como Silver Fox, também chamado de Yinhu, com histórico de páginas falsas de download para espalhar as ferramentas de acesso remoto Gh0st RAT e ValleyRAT.
Nenhum empresário brasileiro precisa se sentir alvo direto dessa campanha específica. O ponto é outro: o método não tem nacionalidade. Clonar a página de um fabricante e esperar que alguém apressado clique no lugar errado é uma receita que funciona em qualquer idioma. A Kaspersky descreveu dias antes um caso parecido, em que um instalador levava junto um aplicativo chinês de troca de papel de parede, usado como fachada para carregar código malicioso sob a assinatura de um programa legítimo.
A mesma família de ferramenta de acesso remoto já apareceu em outros relatórios do setor, atribuída a subgrupos distintos, o que mostra como esse tipo de código circula entre quadrilhas diferentes. Em junho de 2026, autoridades chinesas atuaram contra casos de crime cibernético que distribuíam uma nova variante do trojan ligado ao Silver Fox.
O que a sua empresa pode fazer nesta semana
Nada disso exige um projeto de um ano. Exige decisão. Seguem os pontos que costumam separar a empresa que passa por um episódio desses com um susto da empresa que passa uma semana parada.
- Defina de onde vem o software. Uma lista curta de programas aprovados e um único caminho de instalação evitam a busca aleatória no navegador.
- Tire o poder de administrador do dia a dia. Boa parte das manobras descritas depende de privilégio elevado. Sem ele, o estrago encolhe.
- Bloqueie a origem antes do clique. Regras de navegação e de DNS no firewall corporativo derrubam o acesso a domínios recém-criados e a destinos sem reputação.
- Vigie o que deveria estar ligado. Um serviço de atualização parado, uma exclusão nova no antivírus ou uma tarefa agendada estranha são sinais. Alguém precisa vê-los, e é isso que faz um monitoramento 24 horas.
- Guarde cópia fora da máquina. Como o ataque apaga os pontos de restauração locais, sobra o que estiver em outro lugar. Um backup com restauração testada é o que separa perder a manhã de perder o mês.
- Converse com a equipe. Explicar por que ninguém baixa programa por conta própria custa uma reunião de quinze minutos e evita a maior parte dos casos.
Como saber se algo já passou por aqui
Vale uma checagem simples nos computadores da empresa. As máquinas estão recebendo atualização do Windows normalmente? Existe alguma exclusão cadastrada no antivírus que ninguém sabe explicar? Apareceram tarefas agendadas com nomes genéricos, do tipo rotina de manutenção, criadas em horário estranho? Há conexões de saída para portas incomuns? Essas quatro perguntas cabem em uma tarde de trabalho e dizem muito sobre o estado real do parque.
A leitura mais honesta desse caso é esta: o ataque não venceu uma barreira de tecnologia, ele contornou uma rotina. Alguém precisava de um programa, procurou sozinho e confiou no que parecia certo. Rotina se corrige com regra, com visibilidade e com alguém olhando.
Fonte: The Hacker News — Fake Software Installers Disable Windows Update and Weaken Microsoft Defender, setembro de 2026.
A Ragnatela IOT Solutions trabalha exatamente nessas frentes: projeto e proteção de rede, firewall corporativo, monitoramento 24 horas do que roda dentro da empresa e backup com restauração testada. Se você quer entender como está o seu ambiente hoje, fale com a nossa equipe.
Perguntas frequentes
Como saber se uma página de download é falsa?
Compare o endereço com o site oficial do fabricante e desconfie de domínios recém-criados ou de páginas que só existem para oferecer o arquivo. Na campanha relatada pela Microsoft, os clones eram visualmente idênticos ao original, então a checagem precisa ser do endereço e da origem, nunca da aparência.
O antivírus sozinho dá conta desse tipo de ataque?
Ele ajuda, mas o próprio ataque tenta cadastrar exceções para escapar da inspeção. Por isso o desenho de defesa combina bloqueio de origem no firewall, contas sem privilégio de administrador, monitoramento das máquinas e cópia de segurança guardada fora do computador.
Por que o backup aparece em um caso de malware?
Porque esse código apaga as cópias de sombra do próprio Windows, que são a base da recuperação local. Sobra o que estiver guardado em outro lugar e tiver restauração testada de verdade.
Minha empresa é pequena. Isso também vale para mim?
A campanha descrita mirou principalmente operações e usuários de língua chinesa, mas a técnica de clonar a página de um fabricante funciona em qualquer país. O que protege é a rotina: origem definida do software, privilégio reduzido e alguém acompanhando os alertas.
