--- title: "Hackers entram no mundo gamer: golpes disfarçados de jogos estão à solta" description: A Acronis Threat Research Unit (TRU) descobriu uma nova campanha de malware envolvendo Leet Stealer, RMC Stealer (uma versão modificada do Leet Stealer) e Sniffer Stealer. canonical_url: https://www.acronis.com/pt/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/ locale: pt last_updated: 2026-10-27 --- * [Start](https://www.acronis.com/pt/tru/) * [Alla inlägg](https://www.acronis.com/pt/tru/posts/) * [Acronis Threat Research Unit](https://www.acronis.com/pt/tru/authors/acronis-threat-research-unit/) 23 de setembro de 2025 # Hackers entram no mundo gamer: golpes disfarçados de jogos estão à solta A Acronis Threat Research Unit (TRU) descobriu uma nova campanha de malware envolvendo Leet Stealer, RMC Stealer (uma versão modificada do Leet Stealer) e Sniffer Stealer. Författare: **[Acronis Threat Research Unit](https://www.acronis.com/pt/tru/authors/acronis-threat-research-unit/)** Outros idiomas disponíveis:[English](https://www.acronis.com/en/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) [Deutsch](https://www.acronis.com/de/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) [Español](https://www.acronis.com/es/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) [Français](https://www.acronis.com/fr/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) [Italiano](https://www.acronis.com/it/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) [日本語](https://www.acronis.com/ja/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/) **Autores: Jozsef Gegeny, Ilia Dafchev** ## Resumo * A Unidade de Pesquisa de Ameaças (TRU) da Acronis descobriu uma nova campanha de malware envolvendo Leet Stealer, RMC Stealer (uma versão modificada do Leet Stealer) e Sniffer Stealer. * Essas campanhas combinam engenharia social, jogos e ativos de branding roubados para enganar as vítimas e fazê-las instalar malware disfarçado de jogos independentes, como Baruda Quest, Warstorm Fire e Dire Talon. * Os jogos falsos são promovidos por meio de sites fraudulentos e canais falsos do YouTube e são distribuídos principalmente via Discord. Utilizamos a ferramenta de código aberto [urlscan.io](https://urlscan.io/) para obter capturas de tela de sites falsos que não estavam mais acessíveis no momento da investigação. Uma vez instalados, eles implantam infostealers capazes de coletar dados do navegador, credenciais e tokens do Discord. * O impacto pode ser severo para o indivíduo. Os atacantes podem se passar pela vítima para espalhar malware, enganar outras pessoas ou até mesmo exigir dinheiro em troca de devolver a acessibilidade (extorsão). Dados confidenciais, como credenciais de navegador, informações de pagamento, mensagens privadas e carteiras de criptomoedas, também podem ser comprometidos. As vítimas frequentemente sofrem perda de contas, danos financeiros e angústia emocional. * Uma análise técnica detalhada do RMC Stealer também é apresentada, facilitada por um erro operacional no qual o atacante deixou o código-fonte original e não ofuscado incorporado ao pacote de malware. ## Introdução À medida que as ameaças de malware continuam a evoluir, uma tendência notável surgiu: um número crescente de programas maliciosos está sendo distribuído por meio do Discord, em particular aqueles construídos com o uso do framework Electron. Para quem não conhece, o **Discord** é uma plataforma de comunicação gratuita e multiplataforma popular entre jogadores, desenvolvedores, comunidades e grupos de amigos. Ele oferece suporte a bate-papo por voz, vídeo e texto, e é amplamente utilizado para compartilhar sumário em tempo real. O **framework Electron**, embora menos conhecido fora dos círculos de desenvolvimento, é uma ferramenta de código aberto que permite aos desenvolvedores criar aplicativos de área de trabalho multiplataforma usando JavaScript, HTML e CSS. O Electron combina o Node.js para funcionalidades de backend e o Chromium para renderização da interface do usuário. É a base de muitos aplicativos amplamente utilizados, incluindo o Visual Studio Code, o Spotify, o Slack, o Discord e certas versões do Skype e do Microsoft Teams. Neste artigo, exploraremos campanhas recentes de stealer criadas com base no framework Electron, destacando as técnicas e os métodos de distribuição que observamos. Especificamente, examinaremos exemplos de campanhas envolvendo **Leet Stealer, RMC Stealer (uma versão modificada do Leet Stealer) e Sniffer Stealer.** Nossa investigação indica que muitos stealers baseados em Electron podem ter suas origens rastreadas até o **Fewer Stealer**, que parece ser uma ferramenta fundamental nessa Family de malware. O mapeamento de linhagem a seguir mostra a evolução de vários stealers proeminentes, demonstrando como os atores de ameaças construíram iterativamente sobre bases de código anteriores: ![Image 1: Figura 1: Rastreamento de stealers até o Fewer Stealer](https://staticfiles.acronis.com/images/content/b0637744469b1801a285846082105b90.png) Figura 1: Rastreamento de stealers até o Fewer Stealer **Leet Stealer** fez sua estreia no final de [2024](https://www.acronis.com/pt/tru/posts/threat-actors-go-gaming-electron-based-stealers-in-disguise/). Foi anunciado no Telegram em novembro, com os seguintes recursos: ![Image 2: Figura 2: Recursos do Leet Stealer](https://staticfiles.acronis.com/images/content/d404ed52346f3be6b38bfc27bc504e5b.png) Figura 2: Recursos do Leet Stealer Comercializado como um malware como serviço (MaaS), ele rapidamente ofereceu planos de assinatura em camadas: um pacote Starter com preço de US$ 30 por mês e um pacote Advanced mais rico em recursos avançados por US$ 40 por mês. Apesar de sua presença relativamente modesta (seu canal no Telegram tinha apenas 387 assinantes no início de 2025), o Leet Stealer não deve ser subestimado. Embora o número de seguidores possa parecer baixo, ele é ainda significativo o suficiente para justificar atenção, especialmente considerando a atividade ativa de desenvolvimento e vendas. Em abril de 2025, o **código-fonte** do Leet Stealer foi colocado à venda, em um pacote que incluía outro stealer conhecido como Hexon Stealer, sugerindo uma possível sobreposição operacional ou autoria compartilhada: ![Image 3: Figura 3: Código-fonte à venda](https://staticfiles.acronis.com/images/content/35d68b45ff8f826ba003f5d1b4c461e7.png) Figura 3: Código-fonte à venda O desenvolvedor do Leet Stealer afirmou que aceita solicitações especiais para a criação de stealers personalizados para o cliente final. Acreditamos que essa seja a origem do **RMC Stealer**, como uma cópia modificada do Leet Stealer, uma conexão confirmada por meio de comparação de código. ![Image 4: Figura 4: Rebranding](https://staticfiles.acronis.com/images/content/3273e67c46407c5d1d4c734d23ebbd82.png) Figura 4: Rebranding E nessa imagem, podemos ver que o desenvolvedor também iniciou um novo projeto chamado **Mave Stealer**, que provavelmente é baseado no código-fonte do Leet Stealer. Em contrapartida, o **Sniffer Stealer** se destaca como um ponto fora da curva. Até o momento, não identificamos forks, clonagens ou linhagens de código relacionados que o vinculem a outras Family conhecidas. Neste estágio, acreditamos que o Sniffer Stealer pode ter sido desenvolvido de forma independente, do zero. Esta avaliação pode mudar à medida que coletamos mais dados. ## Detalhes da campanha Na seção Indicadores de comprometimento, listamos alguns conjuntos de amostras de stealer coletadas nos últimos dois meses. Um padrão muito claro emerge dos nomes das amostras: a maioria está se passando por instaladores de jogos independentes, frequentemente alegando associação com a Steam ou tendo nomes que soam como títulos de jogos: Tipo Exemplos Baseado em Steam BillieBust.exe, CatlyBeta.exe, HauntedBeta.exe, EdensGameInstall.exe, HauntedSetup.exe Títulos semelhantes a jogos Dire Talon.exe, Emeraltfates.exe, BarudaQuest.exe, Depthcan.exe, Brosxa 1.0.0.exe Tema “Setup” ClientSetup1.0.exe, Denemeamacimiz Setup 1.0.0.exe, babacan32 Setup 1.0.0.exe Jogos como Catly, Eden e Rooted estão listados no Steam, mas suas datas de lançamento ainda não foram anunciadas. Alguns deles poderão eventualmente estar disponíveis por meio do programa **Early Access** (Acesso Antecipado) do Steam, onde os jogadores podem experimentar os jogos antes que eles sejam oficialmente finalizados. Por isso, a ideia de um “instalador beta” soa crível e empolgante para muitos jogadores, especialmente para aqueles que gostam de descobrir novos jogos independentes. Os cibercriminosos se aproveitam disso criando **instaladores falsos de jogos** que, na verdade, contêm malware, e os espalham em plataformas como o Discord, onde links de jogos são frequentemente compartilhados. As seções a seguir apresentam uma seleção de exemplos de jogos falsos observados nos últimos dois meses. ### Jogo falso nº 1: Baruda Quest Para que esses jogos falsos pareçam mais convincentes, os atacantes frequentemente vão além, criando sites dedicados e até mesmo canais no YouTube para promovê-los. Um exemplo disso é o **Baruda Quest**. **Canal falso do YouTube:**hxxps://www[.]youtube[.]com/watch?v=N3OTRiidWUQ ![Image 5: Figura 5: Vídeo promocional](https://staticfiles.acronis.com/images/content/c210bf92601c0370d3d947e169054dfe.png) Figura 5: Vídeo promocional ![Image 6: Figura 6: Site falso - hxxps://www[.]barudaquest[.]com/](https://staticfiles.acronis.com/images/content/5ce79f8a7aa25ee87f632cdd1574d0ce.png) Figura 6: Site falso - hxxps://www[.]barudaquest[.]com/ O site oferecia links para download para **Windows**, Android e macOS. No entanto, apenas a versão para Windows continha malware, uma variante do **RMC Stealer**. Os outros dois links redirecionavam os usuários para o jogo de mundo virtual legítimo [Club Cooee](https://en.clubcooee.com/), do qual os atacantes haviam roubado imagens e branding para fazer com que o Baruda Quest parecesse autêntico. **Redirecionamento do botão de download:**hxxps://cdn[.]discordapp[.]com/attachments/1308872370601070710/1353442772497072158/BarudaQuest[.]exe?ex=67e1ab4e&is=67e059ce&hm=63b73c6a74e2e31f6b439fec1c4094a6fd76a894db328effab4ac8ef603e75ad& ### Jogo falso nº 2: Warstorm Fire O site **Warstorm Fire** tinha seu idioma padrão configurado como **português**, sugerindo uma origem provável no **Brasil**. Os visuais e o branding do jogo foram copiados diretamente do jogo legítimo [Crossfire: Sierra Squad](https://store.steampowered.com/app/1636030/Crossfire_Sierra_Squad/). A seguir, temos um instantâneo do site falso, como ele aparecia enquanto estava ativo: ![Image 7: Figura 7: hxxps://warstormfire[.]com/](https://staticfiles.acronis.com/images/content/f7dc164e25ec6100d0e28f75d6d347d1.png) Figura 7: hxxps://warstormfire[.]com/ ### O botão de download redireciona para: Link malicioso nº 1: hxxps://warstormfire[.]com/download/warstormfire[.]rar Link malicioso nº 2: hxxps://warstormfire[.]com/download/WarstormfireSetup[.]rar Esses arquivos de configuração continham uma variante do **Sniffer Stealer.** ### Jogo falso nº 3: Dire Talon Neste caso, os atacantes pegaram o jogo original [Project Feline](https://store.steampowered.com/app/2214460/Project_Feline/) e o rebrandaram como seu próprio, com o nome **Dire Talon.** ![Image 8: Figura 8: hxxps://diretalon[.]com/](https://staticfiles.acronis.com/images/content/2f6b03f63e5f8f6d20929251f273dd51.png) Figura 8: hxxps://diretalon[.]com/ **Link para download:**hxxps://www[.]dropbox[.]com/scl/fi/eg0bxaplyr87vbt7t46m8/DireTalon_1[.]2[.]8[.]rar?rlkey=6wl2es2khx4x0blyzq9wwxnqj&st=0s3igvro&dl=1 Neste caso, o ator protegeu o arquivo de download com a **senha “DT2025”**: ![Image 9: Figura 9: Download com proteção por senha](https://staticfiles.acronis.com/images/content/69bc764a145c2d15e55429bc43bc9b24.png) Figura 9: Download com proteção por senha Esse arquivo de instalação também implantou uma variante do **Sniffer Stealer.** ### Jogo falso nº 4: WarHeirs Outro jogo renomeado. O original chama-se [The Braves](https://store.steampowered.com/app/2479830/The_Braves/). ![Image 10: Figura 10: hxxps://warheirs[.]com/](https://staticfiles.acronis.com/images/content/dc9af2f3f726c12a93d532a1c01f67b5.png) Figura 10: hxxps://warheirs[.]com/ ### Link de download malicioso: hxxps://cdn[.]discordapp[.]com/attachments/1345333906966183958/1345335616187007017/Warheirs[.]rar?ex=67c42cee&is=67c2db6e&hm=bb404897fbc8b87eda9000e3845083f00713cea43fac17f0922fc2f098347eb4& Após analisar várias amostras de jogos falsos, descobrimos que nenhuma delas continha sumário de jogo real. Em vez disso, o malware se baseia em **engenharia social**, levando as vítimas a acreditar que algo deu errado durante a instalação ou que o hardware delas simplesmente não atende aos requisitos de sistema do jogo. Para várias das páginas da Web falsas, o idioma padrão está definido como **Português**, o que coincide com o que observamos na telemetria de submissão do VirusTotal. O maior número de amostras veio do **Brasil**, mas os **Estados Unidos** vieram logo atrás, sugerindo que a campanha pode ter se expandido rapidamente por meio de fronteiras linguísticas e regionais: ![Image 11: Figura 11: Origens geográficas das amostras, de acordo com os dados de envio do VirusTotal](https://staticfiles.acronis.com/images/content/ec36070f8ade2896dd24e3afdf56405d.png) Figura 11: Origens geográficas das amostras, de acordo com os dados de envio do VirusTotal Embora a língua portuguesa sugira que a campanha possa ter se originado no Brasil, a forte presença de envios dos EUA mostra que o malware provavelmente foi distribuído de forma mais ampla, possivelmente por meio de plataformas globais como o Discord. ## Análise técnica Nesta seção, forneceremos uma visão geral técnica de como essas amostras de malware baseadas em Electron são construídas. Para isso, utilizaremos uma amostra da campanha **Baruda Quest** por um motivo simples: o desenvolvedor **acidentalmente** incluiu o código-fonte original, não ofuscado, no pacote. Isso nos poupa o esforço de navegar por múltiplas camadas de ofuscação e nos permite entender diretamente como esses stealers operam. ### NSIS O arquivo executável **BarudaQuest.exe** tem 80 MB e permaneceu praticamente despercebido no [VirusTotal](https://www.virustotal.com/gui/file/813e5923e6d4df56055f5b5200db2e074e89f64dea3099e61fbde78c0fc23597) por mais de dois meses, com apenas dois dos 71 mecanismos de antivírus detectando-o como malicioso. Essa baixa taxa de detecção provavelmente se deve a uma combinação de fatores: o grande tamanho do arquivo, o uso do framework Electron — que empacota um ambiente de execução inteiro — e a intensa ofuscação do JavaScript, que dificulta a análise do comportamento malicioso. Além disso, o executável é empacotado usando o Nullsoft Installer (também conhecido como **NSIS**), e pode conter centenas de arquivos. Felizmente, só há um arquivo que nos interessa: o **app.asar**. Este arquivo contém o código JavaScript malicioso. Para extrair o arquivo .asar , podemos usar o 7-Zip, que suporta descompactar arquivos de instaladores NSIS. ![Image 12: Figura 12: O 7-Zip pode extrair arquivos NSIS](https://staticfiles.acronis.com/images/content/ef616dd946584879884047cb4f546017.png) Figura 12: O 7-Zip pode extrair arquivos NSIS ### Arquivo Asar O arquivo app.asar incorporado tem cerca de 8,5 MB, um tamanho mais razoável, embora ainda um pouco grande. A seguir, vamos ver se podemos detalhar mais. Um arquivo ASAR começa com um cabeçalho binário curto de 16 bytes, seguido por um cabeçalho JSON e, em seguida, os arquivos incorporados propriamente ditos. A partir do cabeçalho binário, podemos determinar o tamanho do cabeçalho JSON, que neste caso é 0x5a4ab (369835 bytes), codificado no formato little-endian: ![Image 13: Figura 13: Formato de arquivo Asar](https://staticfiles.acronis.com/images/content/e2b230ee44890116b1c0e73f11162922.png) Figura 13: Formato de arquivo Asar Embora seja possível escrever um script personalizado para analisar o arquivo ASAR lendo o cabeçalho JSON diretamente, existe um método muito mais fácil. Ao instalar o Node.js, você pode usar o utilitário asar para extrair o arquivo, conforme descrito na documentação oficial do Electron, consulte [aqui](https://stackoverflow.com/questions/38523617/how-to-unpack-an-asar-file). Uma vez extraído, o arquivo ASAR revela a seguinte estrutura de arquivos e diretórios: ![Image 14: Figura 14: Arquivos extraídos](https://staticfiles.acronis.com/images/content/d72da8a355f96e57579782c9a34bb0b9.png) Figura 14: Arquivos extraídos O arquivo **package.json** especifica o local do script principal: ![Image 15: Figura 15: Sumário do arquivo package.json](https://staticfiles.acronis.com/images/content/739b80a5635949b30522f42447b6cf4e.png) Figura 15: Sumário do arquivo package.json ### Carregador de código de byte Ao inspecionar o diretório **/out/main**, fizemos uma descoberta preocupante: o malware foi compilado em **bytecode** JavaScript e é executado por uma máquina virtual dentro do mecanismo **V8 JavaScript Engine**: ![Image 16: Figura 16: Carregador de código de byte](https://staticfiles.acronis.com/images/content/0248788095aa3474895db3f05ad4bf13.png) Figura 16: Carregador de código de byte ![Image 17: Figura 17: Código de byte compilado (index.jsc)](https://staticfiles.acronis.com/images/content/95123ef1f5fee226a408b842dbef4a3c.png) Figura 17: Código de byte compilado (index.jsc) Se não houver métodos alternativos disponíveis, torna-se necessário descompilar e analisar o código. Felizmente, o autor do malware cometeu um erro ao deixar o código fonte original no arquivo ASAR: ![Image 18: Figura 18: Código-fonte original](https://staticfiles.acronis.com/images/content/d781932869bc27024da3beded45b1508.png) Figura 18: Código-fonte original Embora essa falha seja lamentável para o atacante, ela beneficia grandemente os pesquisadores, acelerando significativamente o processo de análise e poupando tempo valioso. ### Análise de código de malware Nesta seção, analisaremos o arquivo **rgg_original.js**, que contém uma versão modificada do Leet Stealer, chamada **RMC Stealer**. #### Detecção de sandbox O malware começa realizando a detecção de sandbox, empregando listas negras que têm como destino endereços IP, nomes de host, nomes de usuário, GPUs, sistemas operacionais e processos em execução: ![Image 19: Figura 19: Detecção de sandbox](https://staticfiles.acronis.com/images/content/54b769070d9967db92fbf53fa6b90d68.png) Figura 19: Detecção de sandbox Para verificar os detalhes da BIOS e da GPU, ele utiliza a saída do comando WMIC: ![Image 20: Figura 20: execução do WMIC](https://staticfiles.acronis.com/images/content/e3f3f3a6e5147e40e049b40de5fa6582.png) Figura 20: execução do WMIC Além disso, ele realiza uma verificação final no tamanho da RAM do sistema; se a memória disponível for inferior a 2 GB, a máquina é marcada como um ambiente de sandbox potencial: ![Image 21: Figura 22: Exibição da mensagem de erro](https://staticfiles.acronis.com/images/content/233e973f16dbda2e548bd42dc0715e68.png) Figura 21: Verificação do tamanho da RAM Ao detectar uma sandbox, o malware faz o download e executa um script chamado **fakeErr_[random_characters].vbs**, que exibe uma mensagem de erro falsa, impedindo efetivamente que a amostra seja executada em uma máquina virtual: ![Image 22: Figura 22: Exibição da mensagem de erro](https://staticfiles.acronis.com/images/content/233e973f16dbda2e548bd42dc0715e68.png) Figura 22: Exibição da mensagem de erro Curiosamente, o **Sniffer Stealer** também emprega mensagens de erro falsas; no entanto, ao contrário dos erros de detecção de sandbox usados pelo Leet / RMC Stealer, essas mensagens são projetadas para imitar problemas comuns relacionados a jogos. Essa tática visa reduzir a suspeita, convencendo a vítima de que o jogo que ela tentou executar está com defeito ou foi instalado incorretamente. Exemplos dessas mensagens de erro falsas no Sniffer Stealer, das quais o malware seleciona aleatoriamente uma para exibir, incluem: ![Image 23: Figura 23: Diferentes mensagens de erro falsas](https://staticfiles.acronis.com/images/content/8c51d65ed26a3860d6e7971bcf4605ca.png) Figura 23: Diferentes mensagens de erro falsas #### Exfiltração de dados do navegador Se a máquina passar com sucesso pela detecção da sandbox, o malware prossegue para coletar dados dos navegadores da Web instalados. O processo de coleta de dados tem como destino cookies, senhas salvas e dados de formulários: ![Image 24: Figura 24: Coleta de dados do navegador](https://staticfiles.acronis.com/images/content/7f80a1242746ad1be2830a9c76e45b39.png) Figura 24: Coleta de dados do navegador O malware suporta todos os principais navegadores, incluindo Chrome, Edge, Brave, Opera, Vivaldi, Yandex e Chromium. Notavelmente, ele emprega uma técnica sofisticada, executando o navegador no **modo de depuração**, o que permite que ele se conecte ao processo e extraia cookies diretamente da instância depurada: ![Image 25: Figura 25: Aproveitando o modo de depuração](https://staticfiles.acronis.com/images/content/718a6a1457f9930553f749e034cc59a4.png) Figura 25: Aproveitando o modo de depuração Os dados roubados são então compactados em um **arquivo ZIP** e inicialmente carregados para o **gofile.io**, seguidos por uma notificação enviada para o servidor de comando e controle (C2): ![Image 26: Figura 26: Carregamento para gofile.io](https://staticfiles.acronis.com/images/content/833b9dcf8cbb8f100d9476e000ead530.png) Figura 26: Carregamento para gofile.io Se a tentativa de carregar para gofile.io falhar, o malware tenta exfiltrar os dados por meio de serviços alternativos de compartilhamento de arquivos, como **file.io, catbox.moe e tmpfiles.org**. #### Discord e outros O malware também tem como destino o **Discord**, coletando vários detalhes da conta da vítima: ![Image 27: Figura 27: Discord como destino](https://staticfiles.acronis.com/images/content/778f4272d8d942b55cc323475a04e201.png) Figura 27: Discord como destino Acreditamos que isso representa uma fase crítica na funcionalidade do stealer, pois os tokens do Discord atuam como credenciais de autenticação que concedem acessibilidade total à conta de um usuário, sem a necessidade de um nome de usuário ou senha. Com um token válido, um atacante pode acessar mensagens privadas, listas de amigos, servidores e outras informações pessoais confidenciais. Além disso, a conta comprometida pode ser explorada para distribuir links maliciosos ou mensagens de phishing para os contatos da vítima, facilitando a propagação adicional do malware. Além do Discord, ele tem como destino várias outras plataformas, incluindo: * Microsoft Steam * Growtopia * MineCraft * EpicGames * WhatsApp * Telegram * BetterDiscord (uma versão não oficial do Discord) #### Instalação de outros malwares Além disso, o malware tem a capacidade de baixar e executar cargas maliciosas adicionais: ![Image 28: Figura 28: Download e execução de outros arquivos](https://staticfiles.acronis.com/images/content/330422d87a8ab02867d5149f3d282113.png) Figura 28: Download e execução de outros arquivos Foi interessante observar que, em outras variantes do Leet Stealer, os comentários em português ou turco aparecem ao lado dos comentários em inglês. Isso reflete como o código-fonte foi passado de mão em mão, com indivíduos modificando e alterando-o ao longo do caminho: ![Image 29: Figura 29: Comentários escritos em turco e inglês](https://staticfiles.acronis.com/images/content/9cc935714af396b15ec58c1a300b8152.png) Figura 29: Comentários escritos em turco e inglês ![Image 30: Figura 30: Comentários em português no código-fonte](https://staticfiles.acronis.com/images/content/817b2c00e1d96db73469a75177d93654.png) Figura 30: Comentários em português no código-fonte ## Conclusão Stealers disfarçados de jogos falsos e arquivos de configuração demonstram como as campanhas de malware modernas evoluíram além dos truques técnicos. Eles agora dependem muito de engenharia social, branding e pistas psicológicas para enganar os usuários. Ao disfarçar o malware como jogos e apoiá-lo com sites falsos e materiais promocionais, os atacantes confundem a linha entre sumário legítimo e enganoso. Plataformas de mídia social, como o Discord, são populares entre o público mais jovem e que gosta de tecnologia, e servem como canais de distribuição eficazes, especialmente quando os atacantes utilizam nomes de jogos reconhecíveis ou o hype do acesso antecipado. ## Detecção pela Acronis Esta ameaça foi detectada e bloqueada pelo Acronis Cyber Platform (anteriormente Acronis Cyber Protect Cloud): ![Image 31: Incidente relatado](https://staticfiles.acronis.com/images/content/297b684a58772f6db24f9dbdf6dd2582.png) Incidente relatado ## Indicadores de comprometimento Amostras Nome do arquivo Família do Roubador SHA256 babacan32 Setup 1.0.0.exe Leet 5c7c70ab9734838795050a91f08f1af9e3cb479caf20bd34944282e8ac455ea7 BarudaQuest.exe RMC 813e5923e6d4df56055f5b5200db2e074e89f64dea3099e61fbde78c0fc23597 BillieBust.exe Sniffer 567fb96e8b101abc45f2dfba470ea8a7298063f7428409d8b7e5c8f4326b6dc0 Brosxa 1.0.0.exe Leet b9adcf54b09475ed2023f5b3c03e23013e65195b4e8bfbb82c8c13fde194b2d4 CatlyBeta.exe Sniffer f0b43b49c420b08a7990ae8af937cc974700b8fa2bad2890f313f6b534069bcd ClientSetup1.0.exe Setup 1.0.0.exe Leet 576fbe574f31cf6adf15884a89c3c3c333714637cb513dbe8c788a2056047fa5 damnedbetter.exe Sniffer 150f7b4615a2e0e7d21a32e12e796fc009c1fe25f2efff889acf84924fef39e4 damnedbetter.exe Sniffer 321c7c999ecc5670207394f2f2d3cf4712b15f1f87c1b0ec05ed2367d922f1dc Denemeamacimiz Setup 1.0.0.exe Leet 82421012c689dfe36965d5c89bbeb4af3efb65556eb8df4bf5b863e261e28e8b Depthcan.exe Leet 798eee15a3e93ee0d261501df979dc3b61a9e5992188edeada5beaba0b30b8df DireTaloGaSetup.exe Sniffer 35ad1623694496ec91bc853b391c8bebdfa1aeaea2c4dcf74516e2cd13ab44f4 Dire Talon.exe Sniffer 58d8a8502e7e525795cd402c7d240b50efcdde449eab9ee382f132f690a1989c EdensGameInstall.exe Sniffer 8294f79f9ecf81a65cdc049db51a09cd352536d7993abd0cfa241bbbceefa6e3 emeraltfates.exe Sniffer b127202d13bd170c15c3733991d790bc5464e3d77965e9cf59172c7cf3881738 G16EmeralFATES.exe Sniffer ac6aaed5b02ae265382c666371b557bd4e3c8c8dc08a1640b5cd06c27ed1b1f2 HauntedBeta.exe Sniffer 53444e1c5d2ad49af46712b27da16de14447159d2752e2c303b5ded9afb5128a HauntedSetup.exe Sniffer e71e57ce90fc0d4816faf315991bd9e46dd45660d83be40dd4408c854e7b6d41 HauntedSetupX64.exe Sniffer 3d9064c9dc6ff391a563ce333301f8c4e2eded28192ef4448b09eb2e04ceb965 Jorosa Setup 1.0.0.exe Leet a07462af74cdccc1bba698aa5175923437d400c87e0b88601414630f7ee08f97 Lacrimos.exe Sniffer 1ca60801bed5f8a607afb7054536bdd7d56670c04d3836cdf0cd4e07d8f2edff Lesotia.exe Leet 8c83b52df8a9c9602e745decabfb8f2c754cb6d57780b50ff86908df2b69408f MixerFlow Setup.exe Leet 82beb169bd08d07b1167e3b6d3d22f8f4a6687e6d9d7277fc9e206598d5bd608 MulanaGame Setup.exe Leet c4b672e76dc870de0eec5e2d68441a07569d38cd4e12aef359be7b251eed57a6 PersistSetup (1).exe Sniffer 77aae85b96fedda4e9808c4376738cc058b79b13e705f4c101d32083e4c70601 RootedTheGame.exe Sniffer 09c3291425fe6858800e6a3a57b4a72cda5430f8fba87607a38b8e09da7a0e8c RootedTheGameSetup.exe Sniffer aa32d16626f200c7c7db186174b62cabc9790536a70cd360e92a05a00a4750b0 Salonca Setup 1.0.0.exe Leet 9411b71653f83190a139296d58737f3935bdd58c13142381e59a8d106184e15e slenderthreads.exe Sniffer d33dbba2f4e25148e2d9a59b1157d71d29ab5a30beeb5f0992b0d3f2859a90c2 Sokakcan.exe Leet a3636b09302a77ed7a6c75c5e679ba9ed0dbe12892f5fe94975ab3ef6be7ade8 SpectraLauncher.exe Sniffer cee750d6cb834b766a214b6609ed4eca62b0330a9904cf2f77b184a77e70f4d3 SteppulGame.exe Leet 6f441dc6a45fd6dac4fe19707c6338b8bca1aabfb7842d7ebf94fb2fab2f12d5 SumaleDepth Setup 1.0.0.exe Leet 051028c2acc74cb55f5a5e28c7ba1613fd4a13dcf5f6a6325557ae1b88900ee8 Terrnua Setup 1.0.0.exe Leet 767f575d30deb66244b29bafae51111fdb869ba26d1df902e3f839bdb64725f9 ## Referências * [Há uma nova variante de stealer na cidade, e ela está usando o Electron para permanecer totalmente indetectável](https://www.mend.io/blog/theres-a-new-stealer-variant-in-town-and-its-using-electron-to-stay-fully-undetected/) * ["Experimente meu jogo" MALWARE DO DISCORD| Engenharia Revesar no Leet Stealer, Electron Malware Usado por HACKERS](https://www.youtube.com/watch?v=knu0DttZxxc) * [Hexon Stealer — A longa jornada de cópia, ocultação e rebranding](https://www.cyfirma.com/research/hexon-stealer-the-long-journey-of-copying-hiding-and-rebranding/) Relaterade artiklar [Grandoreiro se espalha: do Brasil ao México com uma nova campanha de DLL sideloading](https://www.acronis.com/pt/tru/posts/grandoreiro-goes-north-from-brazil-to-mexico-with-a-new-dll-sideloading-campaign/) [Acronis Cyberthreats Update, julho de 2026](https://www.acronis.com/pt/tru/posts/acronis-cyberthreats-update-july-2026/) [Campanha de phishing do Lampion focada em Portugal distribui malware em múltiplas etapas](https://www.acronis.com/pt/tru/posts/lampions-portugal-focused-phishing-campaign-delivers-multistage-malware/) [Atualização de ameaças cibernéticas da Acronis, abril de 2026](https://www.acronis.com/pt/tru/posts/acronis-cyberthreats-update-april-2026/)