Descoberta e escopo
Um novo malware de Windows identificado está levantando sérias preocupações entre profissionais de cibersegurança por seu alcance amplo e conjunto incomumente profundo de capacidades. Descoberto através de canais subterrâneos ligados ao Telegram, a ameaça conhecida como Lucid Stealer vai muito além de roubar algumas senhas armazenadas. Ele pode assumir o controle total de uma máquina infectada sem que a vítima perceba nada de errado.
O que torna este malware particularmente perigoso é como ele se disfarça. Todo o pacote malicioso é envolto em um tempo de execução legítimo do Node.js, fazendo com que pareça um aplicativo de software normal para a maioria das ferramentas de segurança padrão. Este empacotamento inteligente permite que ele se deslize pelas defesas básicas enquanto realiza silenciosamente uma ampla gama de atividades prejudiciais em segundo plano.
Pesquisadores da Foresiet identificaram e analisaram estáticamente esta versão do Lucid Stealer após notar atividade renovada ligada a um canal dedicado do Telegram promovendo a ferramenta como um produto baseado em assinatura. A Foresiet disse em um relatório que a amostra é muito mais capaz do que um ladrão de credenciais típico, combinando roubo de dados com acesso remoto ao vivo em uma única versão.
Capacidades de roubo
O Lucid Stealer é construído para roubar de quase todos os cantos da vida digital de um usuário. A versão analisada visa 18 navegadores, 21 formatos de clipper de criptomoeda, sete carteiras de desktop, sete extensões de navegador de carteira e quatro variantes de cliente Discord. Ele vai atrás de credenciais salvas, cookies de sessão, dados de preenchimento automático e histórico de navegador usando uma ferramenta SQLite embutida para consultar diretamente os bancos de dados copiados do navegador.
O malware injeta-se em clientes do Discord para roubar tokens e modificar o aplicativo para enviar dados roubados de volta continuamente. Ele também monitora a atividade da área de transferência, então qualquer endereço de carteira de criptomoeda que uma vítima copie pode ser silenciosamente trocado por um controlado pelo atacante. Essas capacidades trabalham juntas para drenar contas financeiras e plataformas de comunicação ao mesmo tempo.
Infeção e persistência
O que realmente diferencia essa ameaça é seu módulo de acesso remoto. O malware inclui um recurso de controle de desktop oculto, chamado HVNC, que permite que operadores assumam visualmente uma máquina sem abrir nenhuma janela visível na tela da vítima. Combinado com um shell remoto, um gerenciador de arquivos, keylogging e captura de tela, o atacante tem essencialmente o mesmo acesso que se estivesse sentado na frente da máquina.
O malware chega em um arquivo ZIP protegido por senha. Uma vez aberto, ele executa um processo de configuração em camadas que solta arquivos auxiliares, configura persistência no registro do Windows e opcionalmente tenta obter privilégios elevados. Ao momento em que o payload principal é decifrado e executado, o atacante já tem um ponto de apoio estável.
Detecção e resposta
As equipes de segurança devem focar na detecção baseada em comportamento em vez de confiar apenas em hashes de arquivo, já que os operadores já anunciaram planos de reconstruir o malware em uma nova plataforma. Caçar cópias temporárias de si mesmo na pasta TEMP do Windows disfarçadas como arquivos "winupd", entradas de registro de execução suspeitas do HKCU chamadas WindowsUpdate e arquivos de módulo .node inesperados aparecendo em perfis de usuário são entre os sinais mais fortes de uma infecção ativa.
Defensores de rede devem bloquear todo o tráfego para o endereço C2 conhecido e observar solicitações POST repetidas para endpoints internos de log e upload como confirmação adicional. A situação é especialmente séria porque as infecções devem ser tratadas como compromissos totais. Credenciais, cookies de navegador, sessões do Discord, chaves de carteira de criptomoeda e dados de sessão do Roblox estão todos em risco no momento em que o malware é executado.