Grandoreiro após a operação de 2024: evidências de três fabricantes

A prisão de administradores e o desaparecimento de uma família de malware são fatos diferentes. O caso Grandoreiro permite examinar essa diferença com uma operação de janeiro de 2024 e publicações posteriores de três fabricantes. Esta nota sintetiza esses documentos: não é uma análise própria de amostras nem uma confirmação de atividade na data em que é lida.

O que inclui a frente Windows / PoS

O corte de 17 de setembro de 2026 usado neste artigo reúne 24 famílias de Windows e, em casos pontuais, PoS/ATM. Inclui Grandoreiro, Mekotio (Melcoz), Casbaneiro (Metamorfo), Guildma (Astaroth), Javali (Ousaban), Mispadu (URSA) e Prilex. Os aliases do dataset são preservados para relacionar publicações com nomes diferentes, não para unir operações automaticamente.

O Blind Eagle (APT-C-36) aparece pelas cargas que utiliza, mas é um grupo de ameaças, não uma família. Essa distinção deve acompanhar a leitura da frente: uma categoria editorial não torna equivalentes todos os seus registros.

A atualização de 29 de setembro registra 28 de 67 famílias na frente Windows / PoS. Ela não substitui o corte de 24 usado acima. Para interpretar ambos, consulte a cobertura por país e seus limites documentais.

Tetrade não comprova um operador comum

O relatório da Kaspersky de 14 de julho de 2020 agrupa Guildma, Javali, Melcoz e Grandoreiro sob Tetrade. Descreve famílias diferentes, técnicas compartilhadas e um ecossistema de afiliados. Para Grandoreiro, aponta um modelo de malware como serviço com vários operadores.

A interpretação da CTI LATAM é que Tetrade ajuda a organizar a literatura histórica; o nome, isoladamente, não comprova responsáveis comuns por dois incidentes. Semelhanças nas iscas ou técnicas também não bastam para uni-los.

O que a INTERPOL informou sobre as prisões

O comunicado de 18 de março de 2024 registra cinco administradores presos no Brasil em janeiro. Cita a cooperação de Trend Micro, Kaspersky, Group-IB e Scitum. Estima mais de 3,5 milhões de euros fraudados e atribui ao CaixaBank mais de 110 milhões em tentativas frustradas potenciais.

Os valores não são intercambiáveis: tentativas que não prosperaram não devem ser somadas à fraude consumada. O comunicado documenta uma ação contra uma operação, não a erradicação de todas as variantes.

O que foi documentado depois da operação

• Kaspersky, 22/10/2024: descreve operadores restantes e novas versões; registra 1.700 bancos, 276 carteiras cripto e 45 países ou territórios entre os alvos. Na telemetria de janeiro–outubro de 2024, destacam-se México, Brasil, Espanha e Argentina. A presença de uma instituição na configuração não comprova um ataque.
• IBM X-Force: documenta campanhas desde março de 2024, incluindo suplantação institucional no México, na Argentina e na África do Sul. Trata-se de outro conjunto de campanhas observadas, não de uma continuação numérica da telemetria da Kaspersky.
• ESET, 25/06/2025: analisa e-mails que se passam pela AFIP para entregar Grandoreiro por meio de um ZIP com VBS. A publicação também menciona ondas de 2025 na Espanha, Argentina e México.

A conclusão se limita a essa cronologia: houve atividade documentada após as prisões. Os relatórios não demonstram que os mesmos operadores mantenham hoje a mesma infraestrutura nem que todos os alvos listados tenham se tornado vítimas.

Como levar essa leitura ao SOC

Como recomendação analítica, convém relacionar a isca do e-mail, o acesso web e a execução no endpoint dentro do incidente investigado. O caso da ESET fornece um exemplo de cadeia; ele não deve ser imposto como padrão universal para todas as variantes.

• Registrar família, alias, fonte e período antes de comparar alertas. Um nome compartilhado não resolve a atribuição por si só.
• Separar configuração de alvos, detecções do fornecedor e perdas relacionadas à operação. São perguntas e unidades diferentes.
• Antes de unir incidentes sob Tetrade, pedir evidência específica de código, infraestrutura ou iscas. Uma comparação editorial não é uma relação operacional demonstrada.

Nota de versão: os números desta análise correspondem ao corte do dataset vigente no momento da publicação; o Atlas é atualizado de forma contínua.