Novo Malware ResokerRAT Utiliza Telegram como Canal de Comando e Controle
Um novo trojano de acesso remoto (RAT) conhecido como ResokerRAT foi identificado por analistas da K7 Security Labs, apresentando uma arquitetura de comando e controle (C2) que utiliza a API de bots do Telegram. Esta abordagem permite que os atacantes monitorem e controlem máquinas Windows infectadas silenciosamente, sem depender de servidores C2 tradicionais, dificultando a detecção por ferramentas de segurança de rede padrão.
Descoberta e Escopo da Ameaça
O ResokerRAT foi entregue como um arquivo executável chamado Resoker.exe. Assim que a vítima executa o arquivo, o malware inicia operações em segundo plano, configurando persistência, solicitando privilégios elevados e preparando-se para responder a comandos remotos. A análise técnica revela que o malware não utiliza um servidor C2 convencional, mas sim a infraestrutura do Telegram, o que torna o tráfego de comando e controle indistinguível do tráfego legítimo de mensagens em muitos casos.
Análise Técnica Detalhada
Os analistas da K7 Security Labs identificaram que uma das primeiras ações do malware ao ser executado é criar um mutex chamado Global\ResokerSystemMutex usando a API CreateMutexW do Windows. Este mutex atua como um bloqueio simples, garantindo que apenas uma instância do malware esteja rodando no sistema simultaneamente. Além disso, o malware utiliza a função IsDebuggerPresent para verificar se um analista de segurança anexou um depurador ao seu processo. Se um depurador for detectado, o malware dispara uma exceção personalizada para interromper qualquer análise em andamento.
Para obter acesso mais profundo, o malware tenta relançar a si mesmo com privilégios de administrador usando a função ShellExecuteExA com a opção runas. Se essa elevação tiver sucesso, a instância original é encerrada e o processo elevado assume o controle. Caso falhe, o malware reporta o erro de volta através do bot do Telegram. O malware também varre os processos em execução e encerra forçadamente ferramentas de análise como Taskmgr.exe, Procexp.exe e ProcessHacker.exe usando a função TerminateProcess.
Persistência e Execução de Comandos Remotos
O aspecto mais alarmante do ResokerRAT é como ele se incorpora permanentemente ao sistema enquanto usa o Telegram como canal de controle ao vivo. Quando o atacante envia o comando /startup, o malware escreve o caminho do executável no registro do Windows sob HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run com o nome de chave Resoker. Isso garante que o malware seja iniciado automaticamente sempre que a máquina for ligada. Uma mensagem de confirmação Added to startup é enviada de volta ao atacante.
A comunicação entre o malware e o atacante flui inteiramente através da API de Bot do Telegram. O malware constrói uma URL usando um token de bot e um ID de chat hardcoded para consultar continuamente o Telegram em busca de novas instruções. Antes de transmitir os dados coletados, o malware codifica o conteúdo usando codificação URL para ajudar a passar pelos filtros de rede sem ser sinalizado.
Capacidades Invasivas
Entre os comandos remotos disponíveis, o comando /screenshot é particularmente invasivo. Quando emitido, o malware cria uma pasta Screenshots em seu diretório local e executa um script PowerShell oculto para capturar a tela completa, salvando-a como um arquivo PNG, tudo sem mostrar qualquer janela ao usuário. O atacante também pode enfraquecer as defesas do sistema usando o comando /uac-min, que define ConsentPromptBehaviorAdmin para 0 e desativa o prompt de desktop seguro, mantendo o UAC parecendo habilitado para evitar levantar suspeitas.
Implicações para o Brasil e Mitigação
Para profissionais de segurança no Brasil, a detecção deste malware requer monitoramento específico. As equipes devem monitorar a chave de registro Windows Run para entradas não autorizadas e observar o tráfego HTTPS de saída direcionado para api.telegram.org de processos desconhecidos. Manter os sistemas e softwares atualizados, evitar arquivos executáveis de fontes não confiáveis e permanecer alerta para qualquer incapacidade súbita de abrir o Gerenciador de Tarefas são passos essenciais para reduzir o risco de infecção.
O que os CISOs devem fazer imediatamente
- Monitoramento de Rede: Implemente regras de firewall para bloquear ou alertar sobre tráfego HTTPS para
api.telegram.orgoriginado de endpoints não autorizados. - Hardening de Endpoint: Utilize EDR para detectar comportamentos de criação de mutex e tentativas de terminação de processos de segurança.
- Conscientização: Treine usuários para não executarem arquivos .exe de fontes desconhecidas, especialmente aqueles recebidos por e-mail ou mensagens instantâneas.
- Revisão de Registro: Audite regularmente as chaves de inicialização do Windows para entradas suspeitas.
Perguntas Frequentes
Como o ResokerRAT se diferencia de outros RATs? O uso do Telegram como canal de C2 é a principal diferença, tornando o tráfego difícil de distinguir do tráfego legítimo.
É possível recuperar dados após a infecção? A remoção do malware requer a limpeza do registro e a exclusão do arquivo executável. Dados roubados podem não ser recuperáveis.
Quais são os sinais de infecção? Lentidão do sistema, incapacidade de abrir o Gerenciador de Tarefas e tráfego de rede incomum para o Telegram.