O Marsalek, uma plataforma gratuita de malware como serviço (MaaS), disfarçava infostealers (programas para roubo de informações) como trapaças e utilitários para Roblox, Fortnite, Counter-Strike 2, Minecraft e Grim Dawn.
Ele esteve ativo de meados de dezembro de 2025 até o fim de maio de 2026. Pesquisadores contabilizaram mais de 1.560 contas registradas, mais de 400 arquivos maliciosos e mais de 29 URLs de distribuição.
O painel permitia que os usuários criassem payloads (cargas maliciosas), acompanhassem vítimas e lessem dados roubados, sem exigir conta no Discord ou e-mail no plano gratuito.
O Marsalek funcionou em paralelo ao WeedHack, campanha de MaaS focada em Minecraft que a McAfee documentou em junho de 2026.
Ambos direcionam os clientes para o mesmo suporte no Telegram, @MetaMaskenMann. A lista de IOCs (indicadores de comprometimento) da McAfee sobre o WeedHack também cita marsalek[.]cy, entre outros domínios ligados ao mesmo operador.
O Marsalek reaproveita os payloads da fase final do WeedHack, mas suas fases intermediárias usam Python em vez de Java.
Os clientes escolhem entre quatro vetores de primeira fase: PowerShell, páginas falsas de CAPTCHA (teste de verificação) do tipo ClickFix, scripts em Python e executáveis PE (formato Portable Executable).
Esses vetores se passam por executores do Roblox, como Solara e Swift, ou por clientes de Minecraft, como o Shadow Client. Cada um baixa um ambiente de execução portátil do Python e instala pacotes como cryptography e requests.
Em seguida, o malware executa o arquivo python_setup.py, que eleva privilégios por meio de um bypass de UAC (Controle de Conta de Usuário) usando o CMSTP (Connection Manager Profile Installer). É a mesma técnica usada no WeedHack.
O script então grava o arquivo WinDefConfig.cmd, que adiciona 8 caminhos e 15 processos de exclusão ao Microsoft Defender. A terceira etapa, svc.py, é um infostealer de cerca de 1.400 linhas.
Ele tem como alvo 32 navegadores baseados em Chromium, além do Firefox, 56 extensões de navegador e 12 carteiras de criptomoedas para desktop. Também obtém tokens do Discord de 26 caminhos, além de dados de sessão do Telegram e detalhes de contas da VPN Mullvad (rede privada virtual).
Ele examina pastas de usuários em busca de arquivos que contenham 24 palavras-chave, como “seed”, “wallet” e “passphrase”. Para se manter ativo no sistema, usa a pasta Startup (de inicialização) e tarefas agendadas.
Infostealer Marsalek
Em agosto de 2026, a McAfee relatou que os sites do WeedHack ainda estavam ativos e espalhavam malware por meio de envenenamento de SEO (manipulação de resultados de busca).
A técnica mais notável mira o App-Bound Encryption do Chrome, no Chrome, Edge e Brave. O malware inicia o navegador em estado suspenso e injeta nele uma DLL (biblioteca de vínculo dinâmico).
A DLL pede ao Elevation Service do navegador que descriptografe a chave-mestra. O serviço identifica uma solicitação de um processo legítimo do navegador e atende ao pedido.
Em seguida, o Marsalek descriptografa cookies, senhas e tokens com prefixo v20 usando AES-GCM (padrão de criptografia AES no modo GCM). Também substitui arquivos do Exodus e do Atomic Wallet por arquivos .asar maliciosos, criando backdoors nos dois programas.
A etapa final é o PureLog Stealer, ofuscado com o .NET Reactor e carregado na memória após descriptografia com 3DES (Triple DES) e GZIP. O PureLog envia os dados roubados para um servidor separado de comando e controle (C2).
Portanto, o responsável pela campanha recebe tudo o que os clientes do Marsalek coletam e pode explorar primeiro as vítimas de maior valor.
Um plano premium foi apenas marcado como “em breve”, o que permite ao operador abandonar a infraestrutura a qualquer momento. O PureLogs é vendido desde 2022 por apenas US$ 59 por mês.
O FAQ do painel ensinava os clientes a usar cookies roubados e tokens do Discord. Também explicava como lavar criptomoedas por meio do Monero, com serviços como ETZ-swap e Trocador.
A McAfee registrou o maior número de infecções nos Estados Unidos, seguidos por Alemanha, Reino Unido, Índia e Brasil. Muitos clientes parecem ser adolescentes, o que repete o cyberbullying (intimidação virtual) observado pela McAfee no canal do WeedHack no Telegram.
A tática não é nova. Em janeiro de 2025, a McAfee encontrou repositórios no GitHub que ofereciam trapaças para jogos e softwares crackeados e que distribuíam o Lumma Stealer. Eles orientavam as vítimas a desativar o antivírus antes.
Evite executáveis compartilhados no Discord e softwares crackeados ou trapaças de sites não oficiais. Trate qualquer instrução para desativar o antivírus como um sinal de alerta.
Equipes de defesa devem observar o cmstp.exe executado com a flag /au, alterações em massa nas exclusões do Defender e ambientes Python inesperados em diretórios de usuários.
Quem executou esses arquivos deve trocar as senhas, revogar sessões e tokens do Discord e mover as criptomoedas para novas carteiras.
IOCs
Nota: endereços IP e domínios foram propositalmente desfigurados (ex.: [.]) para evitar resolução ou links acidentais. Reverta essa desfiguração apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gerenciamento de eventos e informações de segurança).
