Uma ferramenta de acesso remoto anteriormente não documentada, apelidada de LabubaRAT, é um implante baseado em Rust que se disfarça de software da NVIDIA para comprometer sistemas Windows. O malware descoberto pelo Adversary Pursuit Group (APG) da Blackpoint Cyber é distribuído como nvidia-sysruntime.exe, usando metadados de fornecedor falsos e artefatos de runtime para se misturar a ambientes legítimos enquanto concede aos operadores controle total sobre hosts infectados.
Análise técnica e disfarce
O executável de 64 bits sem assinatura apresenta-se como o NVIDIA Container Runtime Monitor, completo com informações de versão falsas referenciando a NVIDIA Corporation e o NVIDIA Container Toolkit. Ele reforça essa identidade através de um mutex de instância única chamado Local\NVIDIAContainerMonitor_SingleInstance e um banco de dados SQLite local, nvctr_sys.db, que armazena dados de inscrição e estado de runtime.
Apesar da marcação NVIDIA, artefatos de compilação, incluindo um carimbo de tempo PE de 17 de junho de 2026 e caminhos de compilação Rust referenciando um usuário "funt", expõem sua verdadeira natureza como um framework de acesso remoto. O malware aceita configuração de runtime via argumentos de linha de comando ou variáveis de ambiente com prefixo ZM_, permitindo que operadores definam organização, grupo, servidor e chave de API no lançamento.
Infraestrutura de comando e controle
LabubaRAT suporta três métodos distintos para alcançar sua infraestrutura de C2: polling HTTPS padrão usando bibliotecas Rust como reqwest e tokio, comunicação baseada em WebView2 que imita tráfego de navegador através de JavaScript embutido e tunelamento DNS com chunking de payload codificado Base32. Essa redundância dá aos operadores acesso resiliente mesmo se um canal for bloqueado ou detectado.
Uma vez inscrito, o implante perfila o host, coletando especificações de hardware, navegadores instalados, produtos antivírus e informações de domínio, antes de aguardar tarefas do operador. Comandos suportados incluem execução de shell e PowerShell, execução de JavaScript via Windows Script Host, captura de tela através de APIs GDI, upload/download de arquivos, manuseio de arquivos compactados e relaying de proxy SOCKS5.
Persistência e detecção
A persistência de nível de usuário é alcançada através de uma chave de execução HKCU, configurável via flags –install e –uninstall. Operadores recorrem rotineiramente a esses fluxos de execução robustos, combinando-os com scripts de automação maliciosos para enumerar redes de alto valor em minutos. O nome do malware deriva de seu painel C2, que exibia um título "LabubaPanel" e um favicon temático Labubu.
A Blackpoint recomenda que equipes de segurança procurem binários sem assinatura que reivindicam identidade NVIDIA, analisem argumentos de linha de comando codificados em Base64 vinculados a entradas de autorun e procurem artefatos nvctr_sys.db. Monitorar tráfego de saída para User-Agents mascarados de navegador pareados com autenticação bearer, solicitações WebView2 ou consultas DNS de alta entropia também pode ajudar a sinalizar atividade LabubaRAT.
Indicadores de comprometimento (IOCs)
Os IOCs incluem o nome do arquivo nvidia-sysruntime.exe, o mutex Local\NVIDIAContainerMonitor_SingleInstance, o banco de dados nvctr_sys.db e o servidor C2 pipicka[.]xyz. A detecção proativa requer monitoramento de processos não assinados que se passam por software de hardware legítimo e análise de tráfego de rede para padrões de comunicação incomuns.