Cheats falsos para Roblox e Fortnite escondiam Marsalek, um ladrão de palavras-passe
Cheats e ferramentas falsos para Roblox, Fortnite, Minecraft e Counter-Strike 2 escondiam um ladrão de palavras-passe chamado Marsalek, segundo um relatório publicado pela McAfee Labs a 4 de novembro. O serviço funcionou desde meados de dezembro de 2025 até cerca do final de maio de 2026 e era gratuito: qualquer pessoa podia registar-se num site público, criar um ficheiro infetado e acompanhar as vítimas num painel. A McAfee contou mais de 1.560 contas registadas, mais de 400 ficheiros maliciosos e mais de 29 endereços web que os distribuíam.
O que levam os ficheiros falsos
Os ficheiros faziam-se passar por executores de scripts para Roblox, clientes de Minecraft, ajustes para Fortnite e cheats para CS2, além de utilitários do Discord e aplicações de criptomoedas. Circulavam por sites falsos e pelo Discord. Uma variante nem precisava de download: uma página disfarçada de verificação CAPTCHA da Cloudflare executava um comando malicioso de PowerShell.
Depois de iniciado, o Marsalek obtém direitos de administrador ao esconder o pedido de permissão do Windows e carregar sozinho em Enter. Em seguida adiciona exclusões ao Microsoft Defender para que os ficheiros seguintes não sejam analisados.
O roubo é amplo:
- Navegadores: palavras-passe e cookies de mais de 32 navegadores baseados em Chromium. No Chrome, Edge e Brave contorna a App-Bound Encryption do Chrome.
- Mensagens: tokens do Discord em 26 locais do disco e dados de sessão do Telegram.
- Criptomoedas: mais de 56 extensões de navegador e 12 aplicações de carteira, com backdoors nas aplicações de ambiente de trabalho Exodus e Atomic Wallet.
- Outros dados: informações da conta Mullvad VPN configurada no computador e ficheiros do ambiente de trabalho e das Transferências com nomes que incluam palavras como "wallet" ou "paypal".
Essas sessões também foram o saque no caso ucraniano das 610.000 contas Roblox. Um cookie de sessão abre uma conta sem palavra-passe, e os downloads falsos de jogos são uma forma conhecida de o obter, como aconteceu com os sites falsos de GTA 6 que distribuíam o ladrão Vidar.
O kit gratuito também roubava os seus utilizadores
Os clientes do Marsalek também eram um alvo. A última fase da infeção instala um segundo ladrão, o PureLog, que envia os dados para um servidor separado. A McAfee chama-lhe duplo anzol: o cliente pensa que as credenciais roubadas são só suas, enquanto o autor do kit guarda uma cópia e pode usar primeiro as contas de uma vítima valiosa.
O plano pago ficou sempre em "coming soon". Segundo a McAfee, pagar não teria ajudado, porque o dono podia desligar os servidores a qualquer momento e desaparecer com os dados e o dinheiro. As perguntas frequentes do painel ensinavam a usar cookies e tokens roubados e a branquear criptomoedas através do Monero.
A McAfee liga o Marsalek ao WeedHack, um serviço semelhante dirigido a jogadores de Minecraft, porque ambos enviavam os clientes para o mesmo canal de suporte no Telegram. O Marsalek foi visto sobretudo nos Estados Unidos, seguidos da Alemanha, Reino Unido, Índia e Brasil.
O que verificar em casa
A McAfee enumera os sinais de alerta: um ficheiro .exe partilhado por outro utilizador no Discord, uma versão "crackeada" de um jogo novo num site bem feito e qualquer ferramenta cujo site diga que o antivírus está enganado e deve ser desligado. Se as crianças jogam no computador da família, pergunte o que instalaram recentemente.
Se alguém executou um ficheiro destes, considere o computador comprometido:
- A partir de outro dispositivo limpo, altere as palavras-passe, a começar pela do email.
- Termine todas as sessões no Discord, Telegram, Google e contas de jogos, porque os cookies roubados podem continuar a funcionar depois de mudar a palavra-passe.
- Passe as criptomoedas para uma carteira nova criada num dispositivo limpo.
- Reinstale o Windows. O ladrão altera definições do Defender e cria as suas próprias tarefas agendadas, por isso apagar o ficheiro não chega.
A McAfee avisa ainda que os atacantes por vezes contactam as vítimas diretamente, dizendo ter o seu endereço IP ou acesso à webcam. As crianças que recebam uma mensagem assim devem contar a um pai, mãe ou tutor e não seguir as instruções.
