O malware como serviço que rouba dados, controla equipamentos e incomoda as vítimas com prankware

Nos últimos meses surgiu um novo ator no panorama das ameaças: um serviço de malware oferecido como produto, promovido em canais públicos como Telegram e YouTube e projetado para converter qualquer pessoa com intenção criminosa em um operador capaz de espionar, roubar credenciais e controlar equipamentos à distância. Trata-se de uma oferta de tipo "malware-as-a-service" (MaaS) que combina funções sérias de info-stealing com uma coleção de truques provocadores pensados para incomodar ou confundir a vítima.

Os pesquisadores de segurança que analisaram esta família de ameaças documentaram que o projeto foi lançado no início do ano e funciona com um sistema de assinaturas por níveis, o que facilita o acesso a diferentes graus de funcionalidade, de acordo com o pago. Na sua análise técnica, os especialistas da Kaspersky descrevem que a peça maliciosa compartilha muitos elementos de design com outra ameaça conhecida (muitas vezes referida como WebRAT ou Salat Stealer), desde a interface de controle até a base na linguagem Go e no modelo de comercialização baseado em bots e canais automatizados. Você pode ler o relatório técnico da Kaspersky aqui: Kaspersky — CrystalX RAT.

No plano funcional, o malware oferece várias capacidades típicas dos troianos de acesso remoto e dos info-stealers: execução remota de comandos, transferência de arquivos, navegação pelo sistema de arquivos e controle remoto do ecrã por VNC incorporado. Também incorpora módulos de espionagem que permitem capturar áudio e vídeo do equipamento infectado, bem como um registrador de teclas que transmite pulsações em tempo real ao servidor de controle. Para os usuários de criptomoedas, inclui também um clipper: detecta endereços de carteira copiados para a área de transferência através de expressões regulares e substitui-os por endereços controlados pelo atacante.

Do ponto de vista técnico, os criadores têm dado atenção em proteger sua cadeia de distribuição e comunicação com seus servidores. O gerador de payloads permite personalizar executáveis e aplicar geobloqueus, e o malware incorpora mecanismos anti-análises como detecção de ambientes virtualizados, verificação de proxies e anti-depuração. Os ficheiros gerados são esmagados com o zlib e criptografados com a encriptação de fluxo ChaCha20 para dificultar a sua inspecção e detecção por assinaturas; mais informações sobre essas tecnologias estão disponíveis nos artigos técnicos sobre zlib e ChaCha20.

A comunicação com o painel de controle dos operadores é realizada sobre WebSocket, um canal que facilita conexões persistentes e bidirecionais entre o malware e sua infraestrutura, e que permite ao operador conhecer o perfil do sistema comprometido e levar um registro das infecções. Para o roubo de informações em navegadores, o projeto usa ferramentas especializadas para extrair dados de navegadores baseados em Chromium, como Chrome, Yandex e Opera, e também recolhe credenciais e dados de aplicativos de desktop populares entre usuários e gamers, como Steam, Discord e o próprio cliente do Telegram.

Para além das funções clássicas de um RAT, este produto destaca por adicionar um pacote de "prankware": comandos cujo objetivo é provocar desconforto ou interromper o trabalho da vítima. Entre as ações documentadas pelos analistas estão a mudar o fundo de ecrã, forçar o desligamento, o investimento ou a rotação da orientação do ecrã, a desactivação de itens do teclado ou do rato, a esconder elementos da interface como ícones ou a barra de tarefas, a bloquear o Gestor de Tarefas, e a mostrar notificações falsas ou janelas de chat para enganar ou distrair o utilizador. Embora estas características não aumentem diretamente a capacidade de monetizar a intrusão, eles fazem mais chamativa para usuários com escassa formação técnica e podem ser usados para distrair a vítima enquanto os módulos de roubo de dados atuam em segundo plano.

Segundo analistas, a combinação de uma interface acessível, um construtor automatizado e opções de personalização atrai atores de baixa experiência técnica que de outra forma não poderiam operar esse tipo de ferramentas. O perigo real é que o modelo MaaS reduz a barreira de entrada e multiplica o número de indivíduos capazes de executar campanhas de roubo de dados e fraude, algo que vimos há anos com outras variantes de serviços ilícitos na dark web e canais de mensagens.

Para entender melhor o contexto e as técnicas que empregam este tipo de ameaças, é útil remeter-se para quadros de referência públicos que catalogam táticas e técnicas de intrusão. O quadro ATT&CK do MITRE oferece um inventário de técnicas utilizadas por adversários, desde captura de entradas até exfiltração e técnicas de evasão, e pode servir como guia para profissionais de segurança: MITRE ATT&CK.

O que os usuários e as organizações podem fazer para reduzir o risco? Os princípios básicos de higiene digital continuam a ser os mais eficazes: desconfiar e não abrir anexos ou executáveis de fontes não verificadas, manter o sistema operacional e as aplicações atualizadas, utilizar soluções antivírus e de detecção de endpoints reconhecidas, e aplicar autenticação multifator em serviços críticos. No caso de usuários que gerenciam criptomoedas, convém verificar manualmente os endereços antes de efetuar transferências e considerar o uso de carteiras de hardware para mitigar o risco de clipes na área de transferência.

Do ponto de vista organizacional, convém investir em soluções que detectem comportamento anómalo (por exemplo, conexões WebSocket suspeitas salientes de estações de trabalho, processos que acessam múltiplas aplicações de mensagens ou navegador, ou atividade de keylogging), bem como políticas de segmentação de rede e controle de aplicativos para limitar a exposição. Os equipamentos de resposta a incidentes devem manter procedimentos para isolar máquinas comprometidas e analisar os artefatos com ferramentas forenses que possam lidar com cargas comprimidas e cifradas.

O surgimento de serviços que empacotam funcionalidades avançadas em ferramentas fáceis de usar é uma tendência preocupante porque democratiza a capacidade delinquir no ciberespaço. A prevenção e a educação continuam a ser a primeira linha de defesa: um usuário informado e políticas de segurança razoáveis complicam em grande parte o sucesso destes ataques.

Para aqueles que querem aprofundar a análise técnica do caso descrito, o relatório da Kaspersky fornece uma descrição detalhada das capacidades, telemetria e telas do painel que os operadores utilizam, e constitui um bom ponto de partida: Kaspersky — análise de CrystalX. Além disso, a documentação pública sobre os métodos de encriptação e compressão citados na análise ajuda a entender por que as cargas úteis podem ser mais difíceis de inspeccionar: ChaCha20 e zlib.

Em suma, a combinação de funções de roubo de dados e elementos de “broma” converte esta família de RAT numa ameaça versátil: capaz de espiar e exfiltrar informações, e ao mesmo tempo de causar interrupções ou confusão. A melhor resposta continua a ser uma mistura de controlos técnicos, formação contínua e atitude preventiva no tratamento de conteúdos e descargas de fontes não verificadas.