Phishing Booking.com espalha DCRat com tela azul falsa
Phishing Booking.com engana hotéis europeus com uma página de “tela azul da morte” (BSoD) e comanda o Windows para baixar o trojan DCRat, revela a Securonix.
Como o golpe se propaga
Detectada no fim de dezembro de 2025 e batizada de PHALT#BLYX, a campanha começa com um e-mail que simula um cancelamento de reserva no Booking.com. O link leva a um site falso que imita o portal oficial, exibe um CAPTCHA e, na sequência, apresenta uma suposta BSoD com “instruções de recuperação”. O usuário é induzido a abrir o menu Executar do Windows e colar um comando PowerShell. Esse comando baixa um arquivo MSBuild (“v.proj”) hospedado em “2fa-bns[.]com” e executa o script malicioso sem disparar alertas visuais.
PowerShell, MSBuild e persistência silenciosa
O arquivo MSBuild manipula o Microsoft Defender: adiciona exclusões de varredura, tenta desativar o antivírus e cria um atalho na pasta Startup para retomar a infecção a cada inicialização. Caso o malware não tenha privilégios de administrador, ele aciona repetidamente o UAC a cada dois segundos, esperando que a vítima ceda por frustração. Para despistar, o script ainda abre o painel legítimo do Booking.com no navegador, reforçando a falsa sensação de legitimidade.
O que o DCRat faz no sistema
Conhecido como Dark Crystal RAT, o DCRat é um RAT em .NET com arquitetura de plugins. Depois de baixado, ele coleta dados do PC, registra teclas (keylogging), executa comandos remotos e pode adicionar cargas extras, como mineradores de criptomoeda. A Securonix destaca que o código do MSBuild contém trechos em russo, sugerindo ligação com agentes russos, e que o uso de binários legítimos do Windows (“living-off-the-land”) ajuda a driblar soluções de segurança modernas.
Imagem: Internet
Para detalhes técnicos adicionais, consulte o relatório completo publicado no The Hacker News. Quer continuar protegido e montar um setup sem vulnerabilidades? Acesse nossa página inicial e veja mais guias de segurança e performance.
Crédito da imagem: The Hacker News Fonte: The Hacker News
