Um novo Trojan de Acesso Remoto (RAT) denominado ResokerRAT foi identificado atacando sistemas Windows, explorando a API de Bot do Telegram para receber comandos e enviar dados roubados de volta aos atacantes. Diferente de malwares tradicionais que dependem de servidores de comando e controle (C2) personalizados, esta ameaça roteia toda a comunicação através de uma plataforma de mensagens confiável, tornando-a muito mais difícil de detectar e bloquear por ferramentas de segurança.
Descoberta e escopo da ameaça
Analistas do K7 Security Labs identificaram e documentaram este malware, com a pesquisadora Priyadharshini publicando um relatório técnico detalhado em 30 de março de 2026. A investigação revelou que o executável do malware, Resoker.exe, inicia sua cadeia de ataque imediatamente após a execução, executando uma série de rotinas de evasão antes de entrar em contato com o bot do atacante no Telegram.
O malware opera silenciosamente em segundo plano, comunicando-se através de uma conexão HTTPS criptografada com a API do Telegram sem mostrar sinais visíveis para a vítima. Como as conexões ao Telegram são geralmente confiadas por firewalls corporativos e filtros de monitoramento de rede, este método de entrega de comandos é particularmente eficaz para permanecer oculto por longos períodos.
Vetor e exploração técnica
Uma vez instalado, o ResokerRAT carrega uma ampla gama de capacidades prejudiciais, incluindo captura de tela, keylogging, elevação de privilégios, bloqueio do Gerenciador de Tarefas e download de payloads maliciosos adicionais na máquina infectada. O malware combina chamadas de API do Windows com comandos PowerShell ocultos para realizar suas tarefas sem chamar a atenção do usuário.
Após a execução, o Resoker.exe cria um mutex chamado Global\ResokerSystemMutex para garantir que apenas uma instância do malware esteja em execução ao mesmo tempo. Ele também usa a API IsDebuggerPresent para verificar se um depurador ou ferramenta de análise está atualmente anexado e, se encontrado, dispara tratamento de exceção personalizado para interromper a inspeção.
Para manter pesquisadores de segurança à distância, o malware escaneia ativamente os processos em execução e termina ferramentas de análise bem conhecidas, como Taskmgr.exe, Procexp.exe e ProcessHacker.exe. Ele também instala um gancho global de teclado via SetWindowsHookExW, bloqueando atalhos de teclado comuns como ALT+TAB e CTRL+ALT+DEL, efetivamente prendendo o usuário dentro da sessão infectada e impedindo a interação normal do sistema.
Comando e controle via Telegram
O elemento mais distintivo do ResokerRAT é o uso da API de Bot do Telegram como um canal completo de comando e controle. O malware constrói uma URL com um token de bot e um ID de chat codificados, em seguida, consulta o endpoint getUpdates do Telegram em busca de novas instruções. Este tráfego é quase indistinguível do uso regular do Telegram, conforme confirmado pela análise de captura de rede.
A partir deste canal, os atacantes podem emitir uma variedade de comandos. O comando /screenshot executa um script PowerShell oculto para capturar silenciosamente a tela e salvá-la como um arquivo PNG. O comando /startup insere o caminho do malware na chave de registro Windows Run, garantindo que ele sobreviva a reinicializações. O comando /download busca arquivos adicionais de URLs controladas pelo atacante através de um processo PowerShell oculto.
O comando /uac-min enfraquece silenciosamente o Controle de Conta de Usuário definindo ConsentPromptBehaviorAdmin para 0, removendo prompts de segurança sem o conhecimento do usuário. Todos os dados transmitidos são codificados em URL antes da entrega, e o malware mantém um registro local de sua própria atividade.
Medidas de mitigação recomendadas
Usuários e organizações devem evitar baixar executáveis de links não confiáveis ou fontes desconhecidas. Manter o Windows e todo o software de segurança atualizados é crítico, pois os patches ajudam a fechar as brechas que o malware explora. Administradores de rede devem monitorar conexões de saída para endpoints da API do Telegram em busca de padrões incomuns ou inesperados.
Restringir políticas de execução do PowerShell e habilitar ferramentas de detecção de endpoint (EDR) pode ajudar a identificar e interromper este tipo de ameaça antes que cause danos sérios. A análise de tráfego de rede deve focar em conexões HTTPS para domínios do Telegram que não correspondam ao uso normal do usuário, especialmente se houver tráfego de saída constante em horários incomuns.
Perguntas frequentes
- Como o ResokerRAT se diferencia de outros RATs? O uso da API do Telegram para C2 torna o tráfego indistinguível do tráfego legítimo, dificultando a detecção baseada em rede.
- Quais são os principais indicadores de comprometimento (IOCs)? O mutex
Global\ResokerSystemMutex, o executávelResoker.exee conexões de saída para a API do Telegram com tokens codificados. - Como proteger sistemas Windows? Atualize o sistema operacional, use EDR, restrinja PowerShell e monitore tráfego de rede incomum.