Descoberta e escopo da campanha
Uma nova família de malware infostealer, identificada como Remus, tem sido observada em atividade ativa, utilizando técnicas avançadas de ofuscação e infraestrutura baseada em blockchain para evadir detecções tradicionais. Pesquisadores da Unit42 mapearam a operação, que se destaca por esconder seus servidores de comando e controle (C2) dentro de contratos inteligentes da rede Ethereum, permitindo que os operadores alterem a infraestrutura de exfiltração sem modificar o código do malware.
A campanha atual combina envenenamento de SEO agressivo com uma loja de software pirata em turco, utilizando nomes de arquivos que incluem termos como "İndir" e "Türkçe" para atrair vítimas que buscam ferramentas gratuitas. O malware injeta-se em navegadores baseados em Chromium, acessando diretamente os cofres de senhas, cookies de sessão e dados de carteiras de criptomoedas, contornando a criptografia local.
Vetor de infecção e execução
Uma vez que a vítima extrai o arquivo compactado falso e executa o executável embutido, o Remus injeta-se em processos de navegador em execução usando threads remotas. A partir desse ponto, ele pode acessar os cofres de navegadores diretamente, colhendo senhas salvas, cookies de sessão e dados sensíveis que normalmente estariam protegidos por criptografia em disco. O malware também alcança gerenciadores de senhas, clientes FTP, conteúdo da área de transferência, capturas de tela e arquivos de armazenamento de e-mail corporativo.
Essa abordagem permite que os atacantes obtenham uma ampla visão da vida digital da vítima em poucos minutos. A técnica de injeção em processos de navegador é particularmente preocupante, pois pode passar despercebida por soluções de segurança baseadas em assinatura, uma vez que o processo legítimo do navegador continua em execução.
Infraestrutura de comando e controle baseada em blockchain
No centro desta campanha está a decisão de esconder as informações do servidor de comando do Remus dentro de um contrato inteligente do Ethereum, em vez de codificá-lo diretamente no malware. O infostealer envia uma solicitação JSON-RPC para um ponto de extremidade público do Ethereum, consulta o endereço do contrato 0x999941b74F6bbc921D5174A5b29911562cd2D7CF e decodifica a resposta em uma URL de C2 em tempo real.
Essa URL torna-se então o destino para os dados roubados, enviados via solicitações HTTP POST que disfarçam a carga útil como logs de diagnóstico ou telemetria. Como o contrato em si permanece fixo enquanto a infraestrutura subjacente gira, os defensores não podem confiar apenas em assinaturas estáticas para bloquear a comunicação. Esse padrão se assemelha a táticas descritas em campanhas onde contratos inteligentes atuam como camadas de configuração resilientes, permitindo que os atacantes troquem servidores de back-end enquanto mantêm as vítimas vinculadas ao mesmo ponteiro on-chain.
Impacto e alcance
O Remus foca pesadamente na maneira como os navegadores baseados em Chromium protegem segredos. Ele lê as chaves mestras criptografadas de nível do sistema operacional a partir de arquivos de estado local, recupera chaves AES e chaves mestras de proteção de dados de aplicativos e, em seguida, as usa para descriptografar senhas salvas e outras credenciais offline. Isso significa que, mesmo que os arquivos de banco de dados roubados pareçam embaralhados à primeira vista, os atacantes podem desbloqueá-los posteriormente sem tocar novamente na máquina da vítima.
Combinado com o roubo de extensões de navegador focadas em cripto, gerenciadores de senhas, credenciais FTP e armazenamento de e-mail, o Remus transforma um único download equivocado em uma violação de conta em múltiplas camadas que pode abranger serviços pessoais, de jogos e corporativos. A infraestrutura por trás do Remus não é um único site, mas um cluster de diretórios abertos e lojas de warez que hospedam muitos infostealers diferentes lado a lado.
Medidas de mitigação recomendadas
Para reduzir o risco, as organizações devem bloquear o acesso a domínios e IPs maliciosos conhecidos vinculados à campanha Remus, observar solicitações HTTP POST que falsificam cabeçalhos Host enquanto enviam dados para portas incomuns e monitorar a injeção de processos em processos de navegador nos endpoints. Os defensores devem tratar cofres de navegador e lojas de senhas como ativos de alto valor, incentivar a autenticação multifator em contas expostas por meio de senhas salvas e garantir que as ferramentas de segurança possam detectar conexões incomuns a pontos de extremidade RPC blockchain a partir de dispositivos de usuário.
Além disso, recomenda-se evitar software pirata, manter navegadores e gerenciadores de senhas atualizados e confiar em ferramentas de segurança reputadas que possam sinalizar injeção de processo suspeita ou tráfego HTTP de saída para domínios recém-registrados. A detecção de tráfego de saída para contratos inteligentes Ethereum a partir de estações de trabalho de usuário deve ser monitorada como um indicador de comprometimento.
Perguntas frequentes
Como o Remus difere de outros infostealers?
O Remus se destaca pelo uso de contratos inteligentes Ethereum para resolver URLs de C2, tornando a bloqueio de domínios estáticos ineficaz. Além disso, sua distribuição através de lojas de warez em turco com envenenamento de SEO é uma tática de distribuição específica.
É possível recuperar dados após a infecção?
Uma vez que o malware descriptografa as senhas offline, a recuperação depende da revogação de credenciais e alteração de senhas. A detecção precoce é crucial para limitar o escopo do roubo.
Indicadores de Comprometimento (IoCs)
- Contrato Ethereum: 0x999941b74F6bbc921D5174A5b29911562cd2D7CF
- Domínio C2: fimmora[.]surf, zelpx[.]garden, tzpx[.]courses
- IPs de C2: 165.227.123[.]79, 77.42.90[.]175, 167.99.78[.]100
- Hashes SHA256: f52809d57d816cf9ea7e95de64df46fcc1cf62d3da972c167497935b5eca74d7, 51bfb2f390653647b087d789ef1559c3fdf220c565a909f1eee4d593893420dd