Como remover o fake Xeno RAT do sistema operativo

Que tipo de malware é o falso executor de scripts Xeno?

O falso Xeno é um trojan de múltiplas fases que entrega um stealer de informações combinado com um Remote Access Trojan (RAT). Está disfarçado como um executor de scripts "Xeno" para Roblox - uma ferramenta de batota promovida através de fóruns de jogos e servidores Discord.

Conforme documentado pela Bitdefender, o malware (também identificado como "Powercat" em relatórios de segurança) rouba silenciosamente credenciais de navegador, tokens do Discord, carteiras de criptomoedas e sessões de contas de jogos, ao mesmo tempo que dá ao atacante acesso remoto em tempo real à máquina infetada.

Como o isco é uma ferramenta de batota para jogos, tem como alvo principal jogadores mais jovens que podem não suspeitar de que a transferência é prejudicial. Uma vez instalado, o malware é executado em segundo plano sem sinais visíveis de infeção.

Descrição geral do malware fake Xeno

A infeção desenvolve-se em três fases. A primeira é um executável chamado xeno.exe que extrai um Java Runtime Environment incorporado e lança a segunda fase. Essa segunda fase é um arquivo Java fortemente ofuscado com verificações anti-análise. A terceira fase é a carga útil principal - armazenada dentro de uma pasta que imita o diretório GameDVR da Xbox Game Bar e disfarçada de ficheiro DLL do Windows.

O malware liga-se ao servidor do seu operador através de um canal WebSocket encriptado. O endereço do servidor é calculado dinamicamente em tempo de execução, tornando a infraestrutura mais difícil de bloquear ou desativar.

Vigilância e controlo remoto

Uma vez ativo, o fake Xeno dá ao atacante uma visibilidade considerável da máquina da vítima. Regista as teclas premidas e a atividade do rato, tira capturas de ecrã aproximadamente a cada meio segundo e transmite o ambiente de trabalho quase em tempo real. O acesso à webcam também é suportado.

O atacante pode abrir uma shell interativa do PowerShell ou uma linha de comandos padrão, executar comandos arbitrários e navegar, carregar ou descarregar ficheiros do sistema da vítima. Uma rotina de escalonamento de privilégios também está incorporada, permitindo que o operador solicite permissões elevadas quando necessário.

Roubo de informação

O fake Xeno visa uma vasta gama de dados guardados. Extrai cookies do Brave, Chrome, Edge, Opera, Opera GX e Vivaldi. Os tokens do Discord são roubados tanto da base de dados do navegador como através da API do Discord. As credenciais de sessão do Roblox e do Minecraft são recolhidas, juntamente com tokens de vários clientes de launcher do Minecraft de terceiros.

No lado financeiro, o stealer visa carteiras de criptomoeda incluindo Exodus, Atomic, Cake Wallet, SafePal, TronWallet e Monero Wallet. Também estão no âmbito launchers de plataformas de jogos (Steam, Epic Games, Battle.net, Riot Client, Rockstar Games Launcher), vários clientes VPN e ferramentas de desenvolvimento. Os tokens de pagamento da Microsoft Store armazenados em ficheiros de cache local podem expor métodos de pagamento associados à conta Microsoft da vítima.

Persistência e evasão de defesas

O fake Xeno sobrevive a reinícios adicionando uma chave Run do Registo do Windows chamada "Display Calibration" - escolhida especificamente para se misturar e evitar suspeitas. Os ficheiros do malware são colocados em diretórios com permissão de escrita para o utilizador, concebidos para se assemelharem a caminhos legítimos do Windows e da Xbox Game Bar.

Para dificultar a análise, a carga útil verifica a presença de depuradores anexados, IDEs de programadores conhecidos e indicadores comuns de virtualização. As verificações do tamanho do disco e do endereço MAC ajudam a detetar ambientes de sandbox. A carga útil Java principal é ofuscada usando a ferramenta comercial Allatori, tornando a engenharia inversa substancialmente mais difícil.

Conclusão

O fake Xeno é uma ameaça séria que combina o roubo de credenciais com acesso remoto total à máquina infetada. Pode expor palavras-passe, contas de jogos, sessões do Discord, carteiras de criptomoeda e detalhes de pagamento, ao mesmo tempo que permite que o atacante veja o ecrã, registe as teclas premidas e execute comandos.

O seu disfarce convincente como ferramenta de cheat torna-o fácil de ignorar. Qualquer pessoa que possa ter executado um instalador falso do Xeno ou um "Xeno executor" de uma fonte não oficial deve remover o malware do seu sistema imediatamente.

Mais exemplos de malware classificados como RAT são Vanta, WARDEN e KuinaExtractor.

Como é que o fake Xeno se infiltrou no meu computador?

Segundo a Bitdefender, o fake Xeno tem circulado através de fóruns de jogos e comunidades do Discord desde pelo menos o início de 2026, com um aumento notável de atividade a começar em março. É promovido como um executor de scripts "indetetável" do Roblox - empacotado como um arquivo auto-extraível concebido para parecer um instalador legítimo do Xeno.

Os links de descarga são partilhados diretamente em servidores do Discord e em tópicos de fóruns de jogos, onde parecem credíveis dentro da comunidade. Os jogadores que procuram ferramentas de cheat ou formas de contornar anti-cheat são os alvos principais.

De forma mais ampla, ameaças deste tipo também chegam às vítimas através de e-mails de phishing, sites de descarga de software falsos, conteúdo pirateado, publicidade maliciosa e cracks ou geradores de chaves para software pago.

Como evitar a instalação de malware?

Tenha cuidado ao descarregar software de fontes não oficiais, particularmente ferramentas de cheat, mods de jogos ou executores partilhados através do Discord e de fóruns de jogos. Descarregue aplicações apenas de sites oficiais dos programadores ou de plataformas de distribuição verificadas. Trate qualquer ferramenta "premium" gratuita com ceticismo.

Mantenha o seu sistema operativo e todas as aplicações instaladas atualizados. Utilize um programa de segurança respeitável e execute análises completas regularmente. Evite clicar em links ou anúncios suspeitos e recuse pedidos de notificação de sites desconhecidos. Se acredita que o seu computador já está infetado, recomendamos executar uma análise com Combo Cleaner Antivirus para Windows para eliminar automaticamente o malware infiltrado.

Site enganoso (loudexsecutor[.]com) a promover a aplicação fake Xeno:

Remoção automática instantânea do malware:

A remoção manual de ameaças pode ser um processo moroso e complicado que requer conhecimentos informáticos avançados. O Combo Cleaner é uma ferramenta profissional de remoção automática do malware que é recomendada para se livrar do malware. Descarregue-a clicando no botão abaixo:

Ao descarregar qualquer software listado no nosso website, concorda com a nossa Política de Privacidade e Termos de Uso. Para usar a versão completa do produto, precisa de comprar uma licença para Combo Cleaner. 7 dias limitados para teste grátis disponível. O Combo Cleaner pertence e é operado por RCS LT, a empresa-mãe de PCRisk.

Menu rápido:

• O que é o fake Xeno?
• PASSO 1. Remoção manual do malware fake Xeno.
• PASSO 2. Verifique se o seu computador está limpo.

Como remover malware manualmente?

A remoção manual de malware é uma tarefa complicada - normalmente é melhor deixar que os programas antivírus ou antimalware o façam automaticamente. Para remover este malware recomendamos usar Combo Cleaner Antivirus para Windows.

Se pretende remover malware manualmente, o primeiro passo é identificar o nome do malware que está a tentar remover. Aqui está um exemplo de um programa suspeito a ser executado no computador de um utilizador:

Se verificou a lista de programas em execução no seu computador, por exemplo, usando o gestor de tarefas, e identificou um programa que parece suspeito, deve continuar com estes passos:

Descarregue um programa chamado Autoruns. Este programa mostra aplicações de arranque automático, o Registo e localizações do sistema de ficheiros:

Reinicie o seu computador em Modo de Segurança:

Utilizadores do Windows XP e Windows 7: Inicie o seu computador em Modo de Segurança. Clique em Iniciar, clique em Encerrar, clique em Reiniciar, clique em OK. Durante o processo de arranque do computador, prima a tecla F8 no teclado várias vezes até ver o menu de Opções Avançadas do Windows e, em seguida, selecione Modo de Segurança com Rede da lista.

Vídeo que mostra como iniciar o Windows 7 em "Modo de Segurança com Rede":

Utilizadores do Windows 8: Iniciar o Windows 8 em Modo de Segurança com Rede - Vá para o Ecrã Inicial do Windows 8, escreva Avançadas, nos resultados da pesquisa selecione Definições. Clique em Opções de arranque avançadas e, na janela "Definições Gerais do PC" aberta, selecione Arranque avançado.

Clique no botão "Reiniciar agora". O seu computador irá agora reiniciar para o "menu de opções de Arranque Avançado". Clique no botão "Resolução de problemas" e, em seguida, clique no botão "Opções avançadas". No ecrã de opções avançadas, clique em "Definições de arranque".

Clique no botão "Reiniciar". O seu PC irá reiniciar para o ecrã de Definições de Arranque. Prima F5 para arrancar em Modo de Segurança com Rede.

Vídeo que mostra como iniciar o Windows 8 em "Modo de Segurança com Rede":

Utilizadores do Windows 10: Clique no logótipo do Windows e selecione o ícone de Energia. No menu aberto clique em "Reiniciar" enquanto mantém premido o botão "Shift" no teclado. Na janela "escolha uma opção" clique em "Resolução de problemas" e, em seguida, selecione "Opções avançadas".

No menu de opções avançadas selecione "Definições de Arranque" e clique no botão "Reiniciar". Na janela seguinte deve clicar no botão "F5" no teclado. Isto irá reiniciar o seu sistema operativo em modo de segurança com rede.

Vídeo que mostra como iniciar o Windows 10 em "Modo de Segurança com Rede":

Extraia o arquivo descarregado e execute o ficheiro Autoruns.exe.

Na aplicação Autoruns, clique em "Options" no topo e desmarque as opções "Hide Empty Locations" e "Hide Windows Entries". Após este procedimento, clique no ícone "Refresh".

Verifique a lista fornecida pela aplicação Autoruns e localize o ficheiro de malware que pretende eliminar.

Deve anotar o seu caminho completo e nome. Note que alguns malwares escondem os nomes dos processos sob nomes de processos legítimos do Windows. Nesta fase, é muito importante evitar remover ficheiros de sistema. Depois de localizar o programa suspeito que pretende remover, clique com o botão direito do rato sobre o seu nome e escolha "Delete".

Depois de remover o malware através da aplicação Autoruns (isto garante que o malware não será executado automaticamente no próximo arranque do sistema), deve pesquisar o nome do malware no seu computador. Certifique-se de ativar os ficheiros e pastas ocultos antes de prosseguir. Se encontrar o nome do ficheiro do malware, certifique-se de que o remove.

Reinicie o seu computador em modo normal. Seguir estes passos deve remover qualquer malware do seu computador. Note que a remoção manual de ameaças requer competências informáticas avançadas. Se não possui estas competências, deixe a remoção de malware para os programas antivírus e antimalware.

Estes passos podem não funcionar com infeções de malware avançadas. Como sempre, é melhor prevenir a infeção do que tentar remover o malware mais tarde. Para manter o seu computador seguro, instale as atualizações mais recentes do sistema operativo e utilize software antivírus. Para ter a certeza de que o seu computador está livre de infeções de malware, recomendamos analisá-lo com Combo Cleaner Antivirus para Windows.

Perguntas Frequentes (FAQ)

O meu computador está infetado com o malware fake Xeno, devo formatar o meu dispositivo de armazenamento para me livrar dele?

A formatação irá remover o fake Xeno, mas também apagará todos os ficheiros na unidade. Uma solução de segurança como o Combo Cleaner deve ser experimentada primeiro - pode remover o malware sem destruir os seus dados.

Quais são os maiores problemas que o malware fake Xeno pode causar?

O fake Xeno pode roubar credenciais de navegador, tokens do Discord, sessões de contas de jogos, ficheiros de carteiras de criptomoeda e tokens de pagamento da Microsoft. Também dá ao atacante controlo remoto sobre a máquina, o que pode levar a roubo de identidade, sequestro de contas e perda financeira.

Qual é o objetivo do malware fake Xeno?

O fake Xeno serve dois propósitos: roubar dados sensíveis do dispositivo infetado e dar ao atacante acesso remoto ao vivo. Isto permite que o operador espie a vítima, roube contas e fundos, e execute comandos na máquina sem o conhecimento da vítima.

Como é que o malware fake Xeno se infiltrou no meu computador?

O fake Xeno espalha-se através de fóruns de jogos e servidores do Discord, onde é promovido como um executor de scripts "indetetável" e gratuito do Roblox. Os jogadores que descarregam e executam o instalador falso desencadeiam a cadeia de infeção em múltiplas fases. A campanha está ativa desde pelo menos o início de 2026.

O Combo Cleaner irá proteger-me de malware?

Sim. O Combo Cleaner pode detetar e remover a maioria do malware conhecido, incluindo ameaças como o fake Xeno. É recomendado executar uma análise completa do sistema, pois as ameaças avançadas podem por vezes deixar vestígios no interior profundo do sistema.