Nos últimos meses, uma nova variante do malware Coyote tem alarmado especialistas em segurança digital no Brasil. Trata-se de um trojan bancário altamente sofisticado que está se aproveitando de um recurso legítimo do sistema Windows para roubar credenciais bancárias de usuários brasileiros.
Neste artigo, vamos explicar detalhadamente como funciona o malware Coyote, de que forma ele utiliza a tecnologia Windows UI Automation (UIA) para espionar atividades sensíveis, quais são seus principais alvos e, principalmente, o que você pode fazer para se proteger dessa nova ameaça.
Em um cenário cada vez mais complexo e dinâmico no mundo da cibersegurança, entender como esses ataques operam é essencial. O malware Coyote representa uma evolução técnica preocupante, pois utiliza ferramentas do próprio sistema operacional para agir de forma furtiva — algo que exige vigilância redobrada de todos os usuários de Windows no Brasil.
O que é o malware Coyote?
Coyote é o nome dado a um trojan bancário que teve sua existência revelada inicialmente pela Kaspersky, em campanhas que visavam exclusivamente alvos brasileiros. Trata-se de um malware especializado em roubo de credenciais financeiras, com capacidade de:
- Registrar pressionamentos de teclas (keylogger),
- Capturar imagens da tela do dispositivo,
- Sobrepor janelas falsas de login sobre sites reais para enganar o usuário.
Seu objetivo é claro: obter acesso às contas bancárias das vítimas de forma silenciosa e eficaz. Desde sua descoberta, o Coyote passou por atualizações que o tornaram ainda mais difícil de detectar e eliminar, culminando agora no uso de técnicas inéditas dentro do ecossistema Windows.
A grande novidade: o abuso inédito da Automação da Interface do Usuário (UIA)
O que é a UI Automation e para que serve?
A UI Automation (UIA) é uma estrutura oficial da Microsoft incorporada ao .NET Framework, pensada para tornar o sistema operacional mais acessível. Ela permite que tecnologias assistivas, como leitores de tela para pessoas com deficiência visual, interajam com os elementos de uma interface gráfica — como botões, menus, caixas de texto e janelas.
De forma legítima, a UIA ajuda a tornar os softwares mais inclusivos. No entanto, como muitos recursos de acessibilidade, ela pode ser mal utilizada — e é exatamente isso que o malware Coyote faz.
Como o Coyote transforma a UIA em uma arma?
A nova variante do Coyote utiliza uma função legítima do Windows chamada GetForegroundWindow() para descobrir qual é a janela atualmente ativa na tela do usuário. Essa função retorna a informação sobre o programa que está em primeiro plano — geralmente o que o usuário está usando no momento.
A partir dessa informação, o malware ativa o mecanismo da UIA para “ler” os elementos da tela, como o título da aba do navegador, a barra de endereços e até mesmo campos de texto visíveis na interface. Com isso, o trojan consegue identificar se o usuário está acessando um site bancário ou uma corretora de criptomoedas.
Caso exista uma correspondência com sua base de 75 instituições financeiras-alvo, o Coyote inicia a coleta de dados sensíveis digitados, incluindo login, senha e até códigos temporários, com alto grau de precisão — tudo isso sem que o usuário perceba qualquer anormalidade visível.
Uma tática inspirada nos malwares de Android
Segundo especialistas da Akamai, o comportamento do Coyote se assemelha às técnicas usadas por trojans no Android, que abusam dos Serviços de Acessibilidade para espionar e interagir com a interface do dispositivo. A diferença é que, enquanto isso era comum no sistema móvel do Google, essa abordagem no Windows era até então inédita.
Ao usar recursos projetados para ajudar o usuário como ferramentas de espionagem, o Coyote mostra que os cibercriminosos estão inovando ao explorar brechas invisíveis à maioria dos antivírus tradicionais.
Quem está na mira? Bancos e corretoras de criptomoedas no Brasil
A nova versão do malware Coyote possui uma lista de 75 instituições financeiras brasileiras como alvo, incluindo:
- Grandes bancos tradicionais;
- Bancos digitais;
- Corretoras de investimento;
- Exchanges de criptomoedas com operação no Brasil.
Esse número representa um aumento em relação à versão anterior, que, segundo a Fortinet FortiGuard Labs, tinha 73 alvos mapeados.
A estratégia do malware mostra um entendimento profundo do mercado financeiro brasileiro e seus principais canais digitais. Essa personalização torna o Coyote ainda mais perigoso, especialmente para usuários que não utilizam proteções adicionais além do login e senha.
Como se proteger da nova variante do malware Coyote
Diante de um ataque tão sofisticado, é fundamental adotar medidas de segurança proativas. Veja a seguir algumas recomendações essenciais:
Mantenha um antivírus robusto e atualizado
Um bom software antivírus com capacidade de detectar comportamentos anômalos é a primeira linha de defesa contra malwares como o Coyote. Mantenha-o sempre atualizado.
Cuidado com downloads e e-mails de phishing
O Coyote pode ser distribuído por arquivos maliciosos escondidos em anexos de e-mail, sites falsos ou instaladores comprometidos. Evite clicar em links ou baixar arquivos de remetentes desconhecidos.
Mantenha o sistema operacional e softwares atualizados
Atualizações do Windows e dos navegadores frequentemente corrigem falhas que podem ser exploradas por malwares. Ative as atualizações automáticas sempre que possível.
Habilite a autenticação de dois fatores (2FA)
Mesmo que suas credenciais sejam comprometidas, o uso do 2FA (autenticação de dois fatores) adiciona uma camada extra de proteção que pode impedir o acesso não autorizado à sua conta.
Desconfie de comportamentos estranhos no sistema
Se o seu computador apresentar lentidão repentina, janelas abrindo sozinhas ou pop-ups suspeitos, isso pode indicar uma infecção. Em casos assim, interrompa atividades sensíveis e execute uma varredura completa com seu antivírus.
Conclusão: a evolução contínua das ameaças
O surgimento dessa nova variante do malware Coyote é um alerta claro de como os cibercriminosos estão aperfeiçoando suas técnicas, inclusive abusando de recursos legítimos do sistema operacional para evitar a detecção.
Trata-se de uma ameaça avançada, adaptada ao contexto brasileiro e difícil de identificar sem as ferramentas certas.
A melhor forma de proteção é a informação aliada a boas práticas de segurança. Adotar medidas preventivas e manter-se atualizado sobre as novas técnicas de ataque são atitudes que podem impedir prejuízos sérios.
Compartilhe este conteúdo com amigos e familiares para ampliar o alcance desse alerta e contribuir para uma internet mais segura para todos.
