Golpe no Google: apps falsos do ChatGPT infectam computadores com minerador

Quem dá um Google rápido por “ChatGPT desktop” ou “Claude para Windows” pode estar a um clique de transformar o próprio PC numa máquina de minerar criptomoedas, sem saber e sem conseguir parar.

Pesquisadores da Check Point Research rastrearam uma campanha de malware que usa páginas falsas no Google para enganar usuários. Quem cai baixa um pacote ZIP que parece inocente, mas carrega um minerador sorrateiro escondido dentro de um instalador legítimo. O relato foi publicado pelo Android Headlines nesta sexta-feira (30).

Como o golpe engana até o antivírus

A armadilha é mais sofisticada do que um simples executável suspeito. O criminoso cria páginas no GitHub que aparecem entre os primeiros resultados do Google. Quem clica baixa um arquivo ZIP com dois componentes: um instalador verdadeiro, assinado digitalmente pela OpenAI ou pela Anthropic, e um arquivo malicioso chamado winmm.dll.

Ao rodar o instalador oficial, o Windows carrega automaticamente a DLL falsa que está na mesma pasta. O truque tem nome: é DLL sideloading, uma técnica que explora o fato de o sistema operacional procurar primeiro por bibliotecas no diretório do programa antes de ir atrás das pastas seguras do sistema. Como o instalador é legítimo e tem assinatura válida, o antivírus não dispara nenhum alerta.

O CTO da Security Brigade, Yash Kadakia, reforça o recado: confiar só na assinatura digital de um software não basta mais para manter o computador seguro.

Minerador silencioso que some quando você mexe o mouse

Uma análise da Gridinsoft mostra que, depois de enganar o usuário para dar permissão de administrador, o malware se instala em pastas profundas do sistema. Para não levantar suspeitas, o minerador pausa a atividade sempre que o mouse se mexe, sintoma clássico de cryptominer em machine de terceiro.

A comunicação com os criminosos é outro diferencial. Em vez de servidores próprios, o malware usa uma imagem de perfil do Telegram e consultas a registros DNS do Google para buscar comandos novos. Esconder o tráfego dentro de serviços legítimos torna a detecção por softwares de segurança convencionais muito mais difícil.

Há ainda um filtro regional. Segundo a análise de código, o dropper ignora máquinas configuradas com teclado russo ou de países vizinhos. O único alvo regional declarado são sistemas com layout ucraniano.

Variante antiga focava desenvolvedores; risco vai além de minerador

Esta não é a primeira vez que o mesmo carregador de malware aparece. Em junho de 2026, uma versão anterior foi detectada mirando programadores: o golpe usava uma falsa ferramenta Cursor AI, um editor de código com inteligência artificial.

O perigo maior é que a mesma infraestrutura serve para qualquer tipo de ataque. Como o loader pode executar comandos remotos, as próximas ondas podem largar roubadores de senha ou ransomware em vez de mineradores. Se você ou alguém próximo rodou um desses instaladores suspeitos, a recomendação é desconectar o computador da internet e vasculhar as pastas do sistema atrás de arquivos desconhecidos.

A saída mais segura, segundo os pesquisadores, é baixar aplicativos de IA generativa de canais oficiais, a Microsoft Store ou o site da própria desenvolvedora, como o da OpenAI. Um resultado no topo do Google ou um repositório bonito no GitHub não é garantia de que o software é verdadeiro.

📲 Golpe de IA é dos que mais crescem, e muda de roupa toda semana. Para não perder nenhum alerta, entra no Canal do TS no WhatsApp.

Fonte: Android Headlines