CastleRAT: novo RAT para Windows coleta clipboard e usa RC4 em C2
Pesquisadores identificaram o CastleRAT, um novo Remote Access Trojan voltado a sistemas Windows que combina versões em Python e C e técnicas sofisticadas de coleta e exfiltração de dados.
Descoberta e escopo / O que mudou agora
Relatos públicos, citando análise da Splunk, descrevem o CastleRAT como uma família com duas builds principais: um cliente mais leve escrito em Python e uma versão compilada em C mais completa e persistente. O malware foi observado coletando informações de sistema (nome do computador, usuário, GUID, IP público e detalhes de produtos) e mantendo comunicação regular com servidores de comando e controle (C2).
Vetor e exploração / Mitigações
O CastleRAT estabelece comunicação com o C2 empregando RC4 com chave embutida no binário. Entre as técnicas de exfiltração destacadas está o abuso do clipboard: threads separadas leem e sobrescrevem o clipboard e, em seguida, simulam eventos de teclado (SendInput) para colar dados em aplicações aparentemente legítimas, reduzindo artefatos de rede óbvios.
As recomendações técnicas apontadas pela análise incluem monitorar conexões de saída incomuns, observar downloads via PowerShell de linha única, procurar binários inesperados em pastas de usuários e inspecionar tráfego que apresente características de criptografia RC4. Integrações com EDR/SIEM devem considerar regras para identificar acessos repetidos a serviços públicos (por exemplo, consultas a ip-api.com) e comportamentos de clipboard que não correspondam ao uso normal do usuário.
Impacto e alcance / Setores afetados
A publicação não quantifica o número de vítimas, mas descreve capacidades típicas de um RAT: captura de teclas, screenshots, persistência e execução remota de comandos. Esses recursos o tornam adequado para espionagem, roubo de credenciais e controle continuado de estações de trabalho corporativas. Setores com alta exposição a engenharia social ou com permissões excessivas em estações de trabalho são particularmente vulneráveis.
Limites das informações / O que falta saber
Os relatórios públicos resumem a telemetria observada e técnicas de implementação, mas não fornecem indicadores de comprometimento extensivos nem amostras de campanhas ligadas a atores específicos. Também não há estimativa pública do alcance global ou regional do CastleRAT nem evidência vinculando a família a um grupo conhecido além da análise técnica da Splunk.
Repercussão / Próximos passos
Times de segurança devem priorizar a detecção de comportamentos associados a exfiltração por clipboard, estabelecer regras de monitoramento para downloads scriptados e revisar controles de privilégio em estações de trabalho. A aplicação de políticas de bloqueio de execução em pastas de usuários e a validação de assinaturas de binários podem reduzir o risco de persistência pela build compilada em C.
Se sua organização detectar ativos com sinais descritos (conexões para serviços públicos de geolocalização, tráfego RC4, processos que manipulam o clipboard de forma suspeita), recomenda‑se isolamento do host e análise forense antes de reconectar à rede.