Investigadores de cibersegurança da Blackpoint Cyber descobriram uma nova ameaça digital direcionada ao setor corporativo. Batizado de LabubaRAT, este novo malware mascara-se como uma ferramenta legítima da fabricante de placas gráficas Nvidia para se infiltrar em sistemas empresariais, permitindo aos atacantes assumir o controlo remoto das máquinas e roubar dados sensíveis.
A anatomia de um ataque em Rust
Como a própria sigla indica, trata-se de um Trojan de Acesso Remoto (RAT). O ficheiro malicioso faz-se passar por uma aplicação do Nvidia Container Runtime Monitor, adotando o nome "nvidia-sysruntime.exe". A empresa norte-americana não tem qualquer relação com o ataque e os seus programas oficiais estão livres de perigo; os cibercriminosos estão simplesmente a explorar o prestígio da marca para enganar as vítimas.
Desenvolvido em Rust, uma linguagem de programação cada vez mais adotada na criação de códigos complexos e de execução rápida, o vírus recebe a denominação "Labuba" devido à interface do seu painel de comando ("LabubaPanel") e à imagem de um brinquedo com o mesmo nome.
Diferente de ameaças convencionais, este código recebe as suas instruções de ataque através de um bloco de texto codificado no exato momento em que é ativado, contornando mecanismos de análise estática. O método permite que a mesma infraestrutura seja reaproveitada em campanhas de ataque completamente distintas.
Três vias de comunicação e persistência no sistema
Uma vez instalado no computador da vítima, o LabubaRAT cria uma base de dados oculta e avalia as defesas locais. O vírus analisa o estado do Controlo de Conta de Utilizador (UAC) e procura identificar navegadores web, bem como ferramentas de segurança instaladas, incluindo soluções da Kaspersky ou da CrowdStrike.
Para comunicar com os atacantes, a ferramenta estabelece três canais distintos: tráfego HTTPS padrão, uma via invisível através de processos do navegador (WebView2) e, como recurso final se os anteriores falharem, pedidos falsos de internet. Quando chega o momento de agir, o invasor aciona pequenos scripts temporários em JavaScript que correm de forma silenciosa. O malware consegue ainda infiltrar-se no registo de inicialização do Windows do utilizador, assegurando a sua reativação sempre que a máquina for reiniciada.
O impacto prático e a proteção das redes
Com privilégios de acesso assegurados, a ameaça tem capacidade para capturar o ecrã do utilizador, extrair documentos confidenciais, transferir ficheiros da rede e injetar novas cargas maliciosas no sistema comprometido.
Para mitigar o risco destes ataques, o relatório sublinha a importância de implementar sistemas de deteção e resposta (EDR) capazes de intercetar processos que simulam ser software conhecido mas não possuem um certificado digital válido. Num cenário onde as campanhas de phishing recorrem a nomes de confiança, a restrição rigorosa ao descarregamento de aplicações, limitando a atividade apenas a portais oficiais das fabricantes, mantém-se como a principal barreira defensiva das empresas.
Nenhum comentário
Seja o primeiro!