Uma nova ferramenta de acesso remoto (RAT) chamada SloppyRAT tem sido utilizada por grupos criminosos para facilitar a movimentação lateral em redes comprometidas, preparando o terreno para ataques de ransomware. A descoberta foi feita pela Zscaler, que identificou a atividade em junho de 2026 e a vinculou a um ator de ameaça relacionado a ransomware.
Vetor de infecção ClickFix
O SloppyRAT é entregue através de campanhas de ClickFix, uma técnica de engenharia social que engana usuários para executarem comandos apresentados como verificações de rotina. O malware explora utilitários legítimos do Windows, como o finger.exe, para recuperar scripts em lote, uma escolha incomum dado que o protocolo Finger raramente é usado em ambientes corporativos modernos.
Técnicas de evasão e persistência
O código do SloppyRAT apresenta falhas, sugerindo que ainda está em desenvolvimento, mas suas funcionalidades operacionais já representam um risco significativo. Ele utiliza criptografia de partes do código até o tempo de execução, oculta strings significativas e adiciona instruções inúteis para dificultar a análise estática. Além disso, tenta estabelecer persistência usando entradas de registro e hijacking COM, embora alguns desses mecanismos estejam quebrados.
Capacidades avançadas
Uma vez ativo, o SloppyRAT pode receber comandos via HTTPS, inventariar a máquina, listar processos e serviços, inspecionar contas locais e ler arquivos. Sua característica mais perigosa é um proxy SOCKS reverso, que permite que operadores usem o computador infectado como ponte para acessar outros sistemas na rede interna, facilitando a propagação de ransomware.
Indicadores de Comprometimento (IoCs)
Os pesquisadores identificaram diversos hashes SHA-256 associados ao DLL do SloppyRAT e domínios de comando e controle (C2). As equipes de SOC devem monitorar conexões de saída para os domínios listados, como finger.linked4x[.]com e skipraid[.]com, além de buscar cópias renomeadas de curl.exe em pastas de usuário.
Recomendações de mitigação
- Restrição de tráfego: Bloquear tráfego de saída desnecessário na porta TCP 79 e controlar estritamente o uso do finger.exe.
- Educação do usuário: Treinar funcionários para nunca colar comandos em prompts de terminal ou PowerShell solicitados por páginas web.
- Monitoramento de rede: Detectar carregamento reflexivo de DLLs em memória e conexões anômalas para serviços blockchain usados como fallback de C2.
Análise técnica detalhada
O processo de infecção começa com um script que copia o curl.exe legítimo para o perfil do usuário sob um nome numérico .com. Em seguida, recupera o IronPython para executar código compactado e codificado em Base64, baixando estágios posteriores, incluindo CastleLoader e CastleRAT. O SloppyRAT é então carregado como uma DLL e refletivamente carregado na memória, limitando artefatos de disco e tornando a infecção menos visível.
Perguntas frequentes
O SloppyRAT é explorado ativamente? Sim, a Zscaler vincula a atividade a um ator de ransomware, indicando uso operacional real.
Como proteger minha organização? Implemente controles de aplicação restritiva, monitore chamadas de sistema indiretas e revise logs de execução de PowerShell.