Campanha identificada pela ANY.RUN compromete portais oficiais, explora e-mails institucionais e usa documentos falsos para enganar usuários e acessar redes corporativas.
A campanha PhantomEnigma passou a explorar portais oficiais do governo brasileiro para distribuir arquivos maliciosos e roubar informações sensíveis. Segundo relatório técnico da empresa de cibersegurança ANY.RUN, os criminosos comprometem sites com domínio .gov.br e usam a reputação dessas páginas para reduzir a desconfiança das vítimas.
Em vez de criar cópias falsas de serviços públicos, o grupo utiliza a infraestrutura real de prefeituras e órgãos governamentais invadidos. Dessa forma, e-mails, links e arquivos podem atravessar filtros corporativos que normalmente bloqueariam endereços desconhecidos. O objetivo inclui obter credenciais bancárias, acessar redes empresariais e instalar outros programas de roubo de informações.
PhantomEnigma explora a confiança em sites oficiais
O principal diferencial da operação está no uso de domínios legítimos. Normalmente, usuários e sistemas de segurança consideram páginas governamentais mais confiáveis do que sites recém-criados. Por isso, uma ameaça hospedada dentro de um portal oficial pode permanecer menos visível durante as primeiras etapas do ataque.
De acordo com a ANY.RUN, os criminosos comprometeram pelo menos 20 portais governamentais brasileiros. Em seguida, usaram essas páginas para hospedar arquivos maliciosos ou redirecionar visitantes para etapas de instalação do malware.
No entanto, PhantomEnigma não é o nome de um programa específico. A empresa usa essa denominação para identificar toda a campanha, que reúne invasão de contas, comprometimento de sites, phishing e distribuição de diferentes ameaças digitais.
E-mails institucionais ajudam golpe a passar por filtros
A operação começa, em muitos casos, com o envio de mensagens por contas institucionais comprometidas. Como o e-mail parte de um endereço ligado a um órgão público, sistemas automáticos podem classificá-lo como confiável.
Além disso, os criminosos usam temas que estimulam uma resposta rápida. Entre os exemplos aparecem supostos ofícios, intimações, procurações digitais e comunicações atribuídas à Polícia Civil. Assim, a vítima pode abrir o conteúdo sem verificar a origem real da mensagem.
Os atacantes também usam documentos em PDF com QR Codes. Ao escanear o código, o usuário acessa uma página controlada pelos criminosos ou inicia uma sequência de instruções que leva à instalação de arquivos maliciosos.
Método ClickFix induz vítima a executar comandos
Algumas etapas da campanha combinam phishing com o método conhecido como ClickFix. Nessa técnica, o site apresenta uma falsa mensagem de erro ou verificação e orienta o usuário a copiar e executar comandos no computador.
A vítima acredita que está corrigindo uma falha, liberando um documento ou validando um acesso. Contudo, o comando pode baixar malware, abrir uma conexão externa ou permitir que os criminosos assumam o controle da máquina.
Esse método reduz a dependência de falhas técnicas no navegador. Afinal, o próprio usuário executa a ação que libera o ataque. Por isso, mensagens que pedem comandos no PowerShell, no terminal ou na janela “Executar” exigem atenção imediata.
Ataque busca credenciais bancárias e acesso corporativo
Segundo a análise, a campanha concentra esforços em espionagem e roubo de informações. Primeiro, os criminosos tentam acessar computadores e redes corporativas. Depois, procuram credenciais bancárias, senhas, documentos internos e dados de sistemas empresariais.
Além disso, o acesso inicial pode abrir caminho para outras ameaças. Entre elas estão os chamados infostealers, programas desenvolvidos para copiar senhas salvas, cookies de sessão, dados de navegadores e informações de carteiras digitais.
Com essas credenciais, os atacantes podem realizar fraudes financeiras, invadir novas contas ou vender os acessos em fóruns clandestinos. Portanto, uma única infecção pode gerar consequências que vão além do computador inicialmente atingido.
Domínio GOV.BR não garante que o conteúdo esteja seguro
A campanha mostra que a extensão .gov.br não funciona como garantia absoluta de segurança. O domínio confirma que o endereço pertence a uma instituição pública, mas não impede que criminosos explorem falhas, roubem credenciais administrativas ou publiquem arquivos em áreas comprometidas.
Por isso, empresas não devem liberar automaticamente todos os conteúdos que partem de páginas governamentais. Em vez disso, equipes de segurança precisam avaliar o comportamento do arquivo, o destino dos redirecionamentos e as ações solicitadas ao usuário.
Da mesma forma, cidadãos devem observar o contexto da mensagem. Um órgão público raramente exige instalação de programas, execução de comandos ou fornecimento imediato de senhas bancárias por e-mail.
Como reconhecer uma tentativa de ataque
Mensagens urgentes representam um dos principais sinais de alerta. Os golpistas costumam citar prazos curtos, processos, bloqueios, multas ou supostas investigações para pressionar a vítima.
Além disso, o usuário deve desconfiar quando um documento pede a execução de arquivos, macros ou comandos. QR Codes enviados sem aviso prévio também exigem cuidado, especialmente quando levam a páginas que solicitam downloads.
Outro sinal importante aparece no conteúdo da comunicação. Erros de português, formatação inconsistente e endereços diferentes do órgão citado podem revelar a fraude. Contudo, campanhas sofisticadas conseguem reproduzir logotipos e textos oficiais com grande precisão.
Como se proteger do PhantomEnigma
A ANY.RUN alerta que usuários e empresas não devem confiar apenas na reputação do domínio. Portanto, qualquer mensagem inesperada precisa passar por uma verificação adicional, mesmo quando utiliza um endereço governamental.
O usuário deve acessar o portal oficial digitando o endereço diretamente no navegador, em vez de abrir links recebidos por e-mail. Além disso, pode entrar em contato com o órgão por um canal público para confirmar a autenticidade da comunicação.
Empresas devem manter sistemas atualizados, limitar a execução de comandos por usuários comuns e monitorar downloads feitos a partir de páginas confiáveis. Ao mesmo tempo, filtros de segurança precisam analisar o comportamento dos arquivos, e não apenas a reputação do endereço de origem.
Campanha reforça nova fase dos golpes digitais
A PhantomEnigma demonstra como criminosos passaram a explorar a confiança construída por instituições públicas. Em vez de depender apenas de sites falsos, os atacantes usam portais reais comprometidos para aumentar a credibilidade do golpe e contornar defesas tradicionais.
Por fim, a campanha também mostra que a segurança digital depende de várias camadas. Domínios legítimos, certificados e filtros automáticos ajudam, mas não eliminam o risco. Portanto, atualização constante, análise técnica e atenção do usuário continuam essenciais para impedir o roubo de dados e credenciais.
