Lampion gilt als brasilianischer Banking-Trojaner und ist nach japanischen Papierlampen benannt. Acronis beschreibt ihn als altbekannte Malware, die in laufenden Angriffen auf portugiesische Organisationen weiterhin eine Rolle spielt. Nach Einschätzung der Forscher mussten die Angreifer die Schadsoftware über Jahre kaum verändern.

Historisch beginnen Lampion-Angriffe fast immer mit Phishing-Mails, die sich als Finanz- oder Verwaltungsstellen ausgeben. Schon seit 2019 und noch bis 2025 imitierten die Betreiber häufig Portugals Steuer- und Zollbehörde und behaupteten, es gebe Probleme mit überfälligen staatlichen Schulden. In der nun beobachteten Kampagne geben sich die Angreifer laut Acronis stattdessen als private Organisationen in Portugal aus und warnen vor einem angeblich offenen finanziellen oder administrativen Vorgang.

In einer der beobachteten Vorlagen wurde eine Agentur für Fahrzeugdokumentation nachgeahmt. Die Opfer erhielten gefälschte elektronische Belege für angebliche Transaktionen. Die Mails waren mit echter Bildsprache und Informationen der imitierten Marke ausgestattet und enthielten sogar einen Vertraulichkeitshinweis sowie eine E-Mail-Signatur mit sozialem Verweis.

Fällt ein Opfer darauf herein, lädt es ein ZIP-Archiv herunter. Nach dem Entpacken wird eine Webseite geöffnet, die Portugals bekanntes Internetportal SAPO nachahmt. Im Hintergrund bereiten VBS-Skripte die nächsten Schritte vor: Sie richten Persistenz über geplante Aufgaben ein, verbinden sich mit einem entfernten Command-and-Control-Server und übernehmen weitere Routineaufgaben. Als auffälliges Merkmal nennt Acronis den grobschlächtigen, aber allgegenwärtigen Einsatz von Verschleierungstechniken, die der Umgehung einfacher Malware-Erkennung dienen sollen.

Am Ende der Infektionskette steht eine DLL, die als primärer Remote-Access-Trojaner fungiert. Berichten aus den vergangenen Jahren zufolge kann Lampion Overlays in portugiesische Banking-Webseiten einschleusen, um Zugangsdaten von Opfern zu stehlen. Außerdem sammelt die Malware weitere für Angreifer nützliche Standarddaten zur Aufklärung, darunter Details über Rechner und Browser des Opfers.

Jozsef Gegeny, leitender Forscher bei Acronis, sieht in der Langlebigkeit der Malware keinen Zufall. Die Angreifer setzten weiterhin auf Techniken, die sich kaum verändert hätten; solange diese Methoden Erträge brächten, gebe es nur wenig Anreiz für einen grundlegenden Umbau. Aus seiner Sicht zeigt Lampion, dass manche ATT&CK-Modelle bemerkenswert widerstandsfähig seien und nicht immer eine bahnbrechende Neuerung bräuchten, um erfolgreich zu sein.

Die Kampagne bleibt extrem stark auf Portugal zugeschnitten. Nach Acronis entfielen 96,4 Prozent der jüngsten Angriffe auf dieses Land; nur wenige weitere Fälle betrafen Spanien und England. Das deute darauf hin, dass die Angreifer Geofencing einsetzen, damit ihre maßgeschneiderten Angriffe nicht in irrelevante Regionen auslaufen.

Santiago Pontrioli, Leiter der Threat-Intelligence-Forschung bei Acronis, verweist auf die besondere Lage Portugals. Brasilien verfüge über eine der aktivsten Szenen der Cyberkriminalität weltweit, und Portugal sei das zweitgrößte unter wenigen Ländern, in denen fast alle dieselbe Muttersprache wie die brasilianischen Täter sprächen. Auf einer Konferenz in São Paulo habe er gehört, dass brasilianische Akteure häufig Ziele außerhalb Brasiliens bevorzugten, auch wegen der Strafverfolgung. Zuerst stünden Länder mit derselben Sprache im Fokus, danach spanischsprachige Staaten.

Zu dieser Bedrohungslage passt laut Quelle auch eine Erhebung von Marsh Risk. In der Studie „Die Sicht portugiesischer Unternehmen auf Risiken“ seien Cyberangriffe für portugiesische Organisationen 2026 zum größten Risiko geworden. Zum ersten Mal in der zwölfjährigen Geschichte des Berichts übertrafen Cyberrisiken damit traditionellere Risiken wie politische und soziale Instabilität.