Downloads piratas de 'The Odyssey' visam carteiras de criptomoedas

Downloads falsos de The Odyssey começaram a espalhar o malware Lumma Stealer por meio de arquivos disfarçados de lançamentos de filmes de alta qualidade, colocando em risco carteiras de criptomoedas, senhas e sessões de navegador.

A Bitdefender relatou em 6 de agosto que seus pesquisadores encontraram executáveis maliciosos do Windows usando nomes de arquivo projetados para se assemelhar a cópias piratas de The Odyssey, apenas alguns dias após o lançamento do filme.

Downloads de The Odyssey ocultam executáveis do Windows

Disfarçados de arquivos de vídeo, os downloads usam rótulos de torrent familiares, como 1080p, WEBRip, Blu-ray e H264, para fazer as listagens parecerem autênticas. A Bitdefender identificou nomes de arquivo incluindo "the odyssey 2160phd (2026) engsubs eztv.exe", "the odyssey 2026 1080p h264-djt.exe" e "the odyssey 2026 1080p webrip-lama.exe".

Em vez de abrir um filme, cada arquivo .exe executa um software projetado para infectar um computador Windows. A Bitdefender disse que seus produtos de segurança impediram os usuários de baixar ou executar os arquivos detectados, embora os pesquisadores tenham alertado que outros nomes de arquivo também podem estar circulando.

Os atacantes podem tornar o disfarce mais difícil de detectar alterando o ícone do executável para se assemelhar ao VLC Media Player ou a um arquivo de vídeo comum. As instalações do Windows ocultam extensões de arquivo conhecidas por padrão, de acordo com a Bitdefender, o que significa que um usuário pode ver um nome de estilo de filme e ícone do VLC sem notar o final .exe.

Pessoas que pesquisam em sites de torrent também podem esperar nomes de arquivo incomuns, pastas compactadas ou um player de vídeo incluído, dando ao arquivo malicioso outra camada de cobertura. A Bitdefender disse que o chamariz não requer um truque complexo porque a vítima já decidiu baixar uma cópia não oficial de uma fonte não verificada.

Lumma Stealer pode capturar carteiras e sessões de navegador

Uma vez executado, o Lumma Stealer procura no computador infectado por senhas de navegador, informações de pagamento salvas, registros de preenchimento automático, credenciais de área de trabalho remota e dados de carteiras de criptomoedas, de acordo com a empresa de segurança.

O malware também coleta cookies de autenticação do navegador. A Bitdefender alertou que cookies roubados podem permitir que um atacante assuma uma sessão de conta ativa mesmo quando a vítima ativou a autenticação multifator, já que o criminoso pode reutilizar uma sessão que já passou pela verificação de login.

Conhecido como LummaC2, o malware é um ladrão de informações desenvolvido na Rússia e vendido a outros criminosos como um serviço, de acordo com a Bitdefender e autoridades dos EUA. Sua disponibilidade em mercados clandestinos permite que compradores executem campanhas de roubo de dados sem construir seu próprio malware.

Ao contrário de algumas versões anteriores, as amostras encontradas na campanha mais recente do filme não usaram droppers separados ou ferramentas de persistência, disse a Bitdefender. Os operadores, em vez disso, pareciam satisfeitos em coletar e enviar informações disponíveis durante a execução inicial.

Ataques anteriores baseados em filmes do Lumma usaram métodos extras para evitar detecção. A Bitdefender encontrou execução atrasada quando o software de segurança estava presente, entrega de payload criptografado por meio de scripts AutoIt e outras verificações em uma campanha de 2025 construída em torno de cópias falsas de Missão: Impossível – O Acerto Final.

Agências dos EUA interromperam anteriormente a infraestrutura do LummaC2

Para detentores de criptomoedas nos EUA, o LummaC2 já atraiu ação da aplicação da lei federal. Em maio de 2025, o Departamento de Justiça obteve mandados para apreender cinco domínios de internet usados pelos administradores do malware, enquanto a Microsoft entrou com um processo civil separado cobrindo cerca de 2.300 outros domínios ligados à operação.

Documentos judiciais citados pelo departamento afirmaram que o FBI identificou pelo menos 1,7 milhão de casos em que o LummaC2 foi usado para roubar informações. Os alvos listados incluíam registros de navegador, detalhes de login de e-mail e banco, dados de preenchimento automático e frases-semente de criptomoedas que poderiam fornecer acesso a carteiras de ativos virtuais.

“Malware como o LummaC2 é implantado para roubar informações sensíveis, como credenciais de login de usuários, de milhões de vítimas, a fim de facilitar uma série de crimes, incluindo transferências bancárias fraudulentas e roubo de criptomoedas”, disse Matthew Galeotti, então chefe da Divisão Criminal do Departamento de Justiça, no anúncio.

A operação federal apreendeu dois domínios em 19 de maio de 2025. Depois que os administradores do LummaC2 informaram os clientes sobre três domínios substitutos no dia seguinte, as autoridades dos EUA também apreenderam os novos endereços, de acordo com o departamento.

Junto com as apreensões, a Agência de Segurança Cibernética e de Infraestrutura e o FBI emitiram um aviso técnico descrevendo como o LummaC2 entra nos computadores e remove informações sensíveis. O Departamento de Justiça orientou as pessoas que acreditam que um dispositivo foi comprometido a entrar em contato com o Centro de Reclamações de Crimes na Internet do FBI ou com um escritório local.

O aparecimento de novos domínios ligados ao Lumma nas descobertas de 2026 da Bitdefender indica que campanhas de malware usando a família continuaram após a operação de aplicação da lei de 2025. A Bitdefender não forneceu uma contagem de vítimas, perda estimada de criptomoedas ou detalhamento geográfico para a campanha Odyssey.

Malware de criptomoedas está usando conteúdo familiar como isca

Torrents de filmes são uma parte de uma série de campanhas de malware que empacotam código prejudicial dentro de conteúdo, aplicativos ou ferramentas que os usuários procuram ativamente.

No início de agosto, o crypto.news relatou que a Microsoft havia encontrado uma campanha de CAPTCHA falsa usando contratos inteligentes da BNB Chain para recuperar instruções de ataque. A Microsoft disse que a operação visava milhares de dispositivos de consumidores e empresas diariamente e entregava várias famílias de malware, incluindo o Lumma Stealer.

Em vez de baixar um filme, as pessoas pegas nessa campanha foram instruídas a abrir o Executar do Windows, Terminal ou PowerShell e colar um comando fornecido pelo atacante. A Microsoft alertou que infecções bem-sucedidas poderiam expor credenciais, instalar ferramentas de acesso remoto e criar um ponto de entrada para ransomware.

Usuários móveis enfrentaram uma forma diferente de roubo de carteira. Em julho, relatórios renovaram a atenção em torno do malware móvel SparkKitty, que a Kaspersky havia encontrado anteriormente em aplicativos iOS, Android e de terceiros. O spyware coletava imagens das galerias de telefones, onde alguns usuários haviam armazenado capturas de tela de frases de recuperação de carteira, senhas e códigos QR.

Ferramentas de desenvolvedor também se tornaram uma rota de entrega. A Socket divulgou em maio que a campanha de malware TrapDoor envolvia pelo menos 34 pacotes prejudiciais e 384 versões conectadas em repositórios npm, PyPI e Rust. De acordo com a empresa de segurança, os pacotes visavam desenvolvedores de criptomoedas e inteligência artificial, buscando dados de carteira, tokens do GitHub, credenciais de nuvem e chaves SSH.

Para a campanha mais recente de filmes, a Bitdefender aconselhou os usuários a assistir filmes por meio de serviços de streaming legítimos, evitar executáveis anunciados como vídeos e manter o Windows e o software de segurança atualizados. A empresa também recomendou habilitar extensões de arquivo no Windows Explorer para que um arquivo .exe não possa parecer um filme comum.