Infostealer: o que é e como saber se você foi infectado

Você baixa um "crack" de um programa, ou clica numa verificação de CAPTCHA que pede pra colar um comando no Windows. Nada acontece, o programa abre normal e a vida segue. Três dias depois, alguém entra no seu e-mail, no seu Instagram e na sua conta da corretora, sem errar senha e sem precisar de código de 2FA. O culpado costuma ser um infostealer: um malware que não quer destruir seu PC, só esvaziar o navegador.

O que é um infostealer

O que é um infostealer?

Infostealer é um malware feito pra roubar dados do dispositivo e mandar tudo pra um servidor do atacante: senhas salvas no navegador, cookies de sessão, tokens, dados de preenchimento automático e carteiras de criptomoedas.

Ele age rápido e quase sempre em silêncio. Roda por poucos minutos, coleta o que importa, envia o pacote (os "logs", no jargão do crime) e muitas vezes se apaga. O volume é grande: a Microsoft contabilizou mais de 394 mil computadores Windows infectados só pelo Lumma Stealer entre março e maio de 2025, e foi esse número que justificou a ação conjunta com o DOJ e a Europol que derrubou cerca de 2.300 domínios da infraestrutura dele. Esses malwares são vendidos como serviço (malware-as-a-service), inclusive em canais de Telegram, então qualquer criminoso sem habilidade técnica consegue operar um.

Como o infostealer chega ao seu PC

Quase nunca é uma falha técnica sofisticada. É engenharia social. Os caminhos mais comuns, segundo a própria Microsoft e a cobertura do Bleeping Computer e do Register:

• Cracks, keygens e "ativadores": programa pirata que realmente abre, mas carrega o stealer junto.
• Downloads falsos de jogos e filmes: o instalador é o malware.
• ClickFix: uma página finge ser um CAPTCHA ou um erro do navegador e instrui você a apertar Win + R, colar um comando e dar Enter. Quem executa o comando é você, então o antivírus raramente barra na hora. A SentinelOne descreve campanhas desse tipo entregando Lumma e outros stealers.
• Anúncios e resultados de busca falsos de programas conhecidos, e extensões maliciosas do Chrome.

O que ele rouba (e por que o 2FA não salva)

O alvo principal é o perfil do navegador, onde ficam as senhas salvas e os cookies de sessão. O cookie é o "crachá" que mantém você logado: quem o copia entra na conta sem senha e sem código. Foi exatamente isso que expliquei em roubo de cookie de sessão. As senhas roubadas, por sua vez, alimentam ataques de credential stuffing contra todos os outros serviços onde você reutilizou a mesma senha.

Sinais de que você pode estar infectado

Como saber se meu PC tem um infostealer?

O sinal mais confiável não está no PC, está nas suas contas: logins de lugares e aparelhos que você não reconhece, e-mails de "novo acesso" sem que você tenha entrado. No computador, o stealer costuma deixar pouco rastro.

• Alertas de login em dispositivo ou cidade desconhecida, mesmo com 2FA ligado.
• Conta que "desloga sozinha" ou pede nova autenticação sem motivo.
• Mensagens enviadas do seu WhatsApp, Instagram ou e-mail que você não escreveu.
• Movimentação estranha em corretora, exchange ou carteira cripto.
• Você executou um crack, um instalador de origem duvidosa ou colou um comando de um site "de verificação" nos últimos dias.
• E-mail aparecendo em checagens de vazamento. Dá pra conferir em como saber se seu e-mail foi vazado.

Para uma checagem geral da máquina, veja os sinais de que o PC foi hackeado.

O que fazer se você suspeita de infecção

A ordem importa. Trocar senha antes de limpar a máquina é inútil: o stealer, se ainda estiver ativo, rouba a senha nova.

1. Use outro dispositivo limpo (o celular, por exemplo) para o que vem a seguir.
2. Desconecte o PC infectado da internet e rode uma verificação completa com o Microsoft Defender (modo offline) ou com um antimalware de confiança. Se houver dúvida real, formatar e reinstalar o Windows é a saída mais segura.
3. Revogue as sessões ativas de e-mail, redes sociais, banco e corretora ("sair de todos os dispositivos"). Isso invalida os cookies roubados.
4. Troque as senhas, começando por e-mail e banco, sempre pelo dispositivo limpo, e só depois reative o PC já higienizado.
5. Revise métodos de recuperação, chaves de acesso e 2FA de cada conta, porque o atacante pode ter cadastrado o dele.
6. Avise o banco se houver qualquer sinal de acesso financeiro.

Como reduzir o risco no dia a dia

• Não salve senhas no navegador. Use um gerenciador dedicado, como o Bitwarden, e senhas únicas por serviço.
• Prefira passkeys e 2FA por app ou chave física onde der. Elas não eliminam o roubo de cookie, mas reduzem muito o que a senha sozinha entrega.
• Nunca cole no Executar ou no Terminal um comando que um site mandou você copiar. Nenhum CAPTCHA legítimo pede isso.
• Baixe programas só do site oficial do fabricante; desconfie do primeiro anúncio no Google.
• Mantenha o sistema e o navegador atualizados e o antivírus ativo.
• Use uma conta de usuário comum no dia a dia, sem privilégio de administrador.

A lição maior

O infostealer mostra que o navegador virou o cofre da sua vida digital, e o cofre abre sozinho pra quem consegue rodar um código na sua máquina. Segurança aqui é menos sobre ferramenta e mais sobre hábito: não executar o que você não entende, não guardar tudo no mesmo lugar e partir do princípio de que, se algo vazar, a conta precisa continuar protegida por outra camada. Se quiser entender o outro lado dessa história, o que acontece depois que a senha roubada circula, leia sobre como proteger suas contas contra credential stuffing.

Fontes: Microsoft On the Issues (ação contra o Lumma Stealer), The Hacker News, The Register e SentinelOne (ClickFix).