Quantas máquinas da sua empresa já foram infectadas?

A mesma infraestrutura de dados que alimenta o Argus, por trás desta página.

36M

Máquinas comprometidas

5.698.026

Funcionários com credencial exposta

15.839.002

Domínios na base

500M+

Senhas comprometidas

25B+

Cookies de sessão comprometidos

43.334

Servidores de C2

infostealers ativos

29.221

Hosts PhaaS

phishing como serviço

4.085

Sites ClickFix

sequestro de área de transferência

Como sua credencial sai da máquina de alguém e chega a um fórum

Nenhum passo depende de a empresa ter sido invadida — o comprometimento acontece no computador de uma pessoa.

1. 01

   A máquina é infectada

   Quase sempre fora do perímetro: um instalador pirata, um "crack", um anexo. Pode ser o notebook pessoal de um funcionário, ou o de um fornecedor.

2. 02

   Copia o navegador inteiro

   Senhas salvas, histórico, e — o que mais importa — os cookies de sessão. Leva segundos e não deixa rastro no seu SIEM, porque nada aconteceu na sua rede.

3. 03

   O log é vendido ou publicado

   Vira arquivo em fórum, canal de Telegram ou mercado fechado. Um mesmo log é revendido várias vezes, para compradores diferentes.

4. 04

   O acesso não pede senha

   Com um cookie de sessão válido, o atacante não faz login — continua a sessão de quem já entrou. Senha forte e MFA não são consultados.

Famílias que a base identifica por nome

Não é "malware genérico": o log chega atribuído, e é isso que permite datar e correlacionar.

Lumma

Vendida como serviço. Alvo em navegador, extensões de 2FA e carteiras.

Acreed

Família recente, já presente em amostras brasileiras deste mês.

RedLine

Uma das mais difundidas na década. Credenciais, cookies e carteiras.

Vidar

Derivada do Arkei. Rouba credenciais, cookies e captura de tela.

StealC

Modular, vendida como serviço; imita o comportamento de antecessoras.

Rhadamanthys

Mais sofisticada, modular, com foco em cripto e credenciais.

Parte dos logs chega sem família atribuída pela fonte — nesses casos o registro aparece como genérico, e o gráfico do resultado mostra essa proporção com honestidade.

O que aparece quando você consulta

Tudo mascarado no servidor antes de sair daqui.

Máquinas comprometidas

Quantas, com credencial de funcionário e de cliente separadas.

Sessões ativas

Cookies ainda válidos e em quais serviços — o que dispensa senha e MFA.

Superfície de identidade

VPN, ADFS, Citrix, webmail e portais encontrados nas URLs.

Ativos relacionados

Subdomínios e aplicativos ligados à marca, achados nos próprios logs.

Forense da amostra

Força das senhas, antivírus que estava instalado, programas na máquina.

Amostra de credenciais

Linhas reais, mascaradas — senha em forma abstrata, máquina parcial.