Digital Inside
O volume de malware avançado e evasivo aumentou 40% entre abril e junho de 2025, em comparação com o trimestre anterior, de acordo com o novo Relatório de Segurança na Internet divulgado pela WatchGuard Technologies. O estudo, elaborado pelo WatchGuard Threat Lab, indica que os cibercriminosos estão a recorrer cada vez mais a canais encriptados para esconder as suas atividades, utilizando o protocolo Transport Layer Security (TLS), que normalmente serve para proteger comunicações legítimas.
Embora o TLS seja essencial para garantir a segurança das ligações web, os cibercriminosos estão a explorá-lo como meio de ofuscação, dificultando a deteção de cargas maliciosas. No total, as deteções de malware registaram um aumento de 15% no trimestre, impulsionado por um crescimento de 85% no Gateway AntiVirus (GAV) e de 10% no IntelligentAV (IAV). Atualmente, 70% do malware é distribuído através de ligações encriptadas, o que reforça o desafio das equipas de segurança em monitorizar o tráfego protegido e identificar ameaças ocultas.
Além do aumento do malware, o relatório aponta para um crescimento de 8,3% nos ataques de rede, embora com uma ligeira redução na diversidade das assinaturas detetadas — 380 face a 412 no trimestre anterior. Uma das novas deteções destacadas foi a “WEB-CLIENT JavaScript Obfuscation in Exploit Kits”, associada à disseminação de código malicioso em JavaScript através de técnicas de dissimulação que permitem contornar controlos tradicionais.
Segundo a análise da WatchGuard, os atacantes continuam a explorar vulnerabilidades antigas, presentes em navegadores, frameworks web e ferramentas open-source, combinando-as com novas técnicas de evasão.
Entre as conclusões adicionais do relatório, destaca-se um aumento de 26% em novos tipos de malware, impulsionado pela utilização de técnicas de encriptação por empacotamento, conhecidas como “packing”, que permitem às variantes polimórficas contornar a deteção baseada em assinaturas. Estas ameaças foram principalmente identificadas pelos serviços avançados da empresa, como o APT Blocker e o IntelligentAV.
O relatório também documenta duas ameaças inesperadas de malware baseadas em dispositivos USB — PUMPBENCH e HIGHREPS —, ambas utilizadas para instalar um minerador de criptomoedas (XMRig) destinado à extração de Monero (XMR).
Por outro lado, os ataques de ransomware diminuíram 47%, um sinal de que os atacantes estão a concentrar esforços em menos incidentes, mas mais destrutivos, direcionados a alvos de alto valor. Em paralelo, foi registado um aumento no número de grupos de extorsão ativos, com Akira e Qilin entre os mais agressivos.
O relatório sublinha ainda que os droppers — programas que instalam outros tipos de malware — dominaram as infeções de rede, representando sete das dez deteções mais comuns. Entre estes, destacam-se o Trojan.VBA.Agent.BIZ e o ladrão de credenciais PonyStealer, ambos dependentes de macros ativadas pelos utilizadores. O conhecido botnet Mirai também voltou a surgir, após cinco anos, com foco na região da Ásia-Pacífico.
De acordo com o Threat Lab, o malware zero-day continua a representar a maioria das deteções — mais de 76% do total — e quase 90% do malware propagado por canais encriptados, o que reforça a importância de soluções que vão além da deteção por assinaturas tradicionais.
Por fim, as ameaças baseadas em DNS mantiveram-se estáveis, com domínios ligados ao trojan de acesso remoto DarkGate, que atua também como carregador (loader) de outras ameaças. Estes resultados reforçam a filtragem DNS como uma camada crítica de defesa para as empresas.
