ResolverRAT Malware

Pesquisadores de segurança cibernética identificaram um trojan sofisticado de acesso remoto chamado ResolverRAT, que está sendo usado ativamente em ataques direcionados aos setores de saúde e farmacêutico. Este malware recém-descoberto representa um sério risco devido ao seu comportamento furtivo e mecanismos complexos de infecção.

Táticas de Phishing: O Medo como Arma

A campanha começa com e-mails de phishing que induzem ao medo, criados para induzir os destinatários a clicarem urgentemente em um link malicioso. Essas iscas costumam fazer referência a problemas legais ou violações de direitos autorais, projetadas para criar pânico e provocar uma reação precipitada. Uma vez clicado, o link leva ao download de um arquivo que inicia a cadeia de infecção do ResolverRAT.

Engano Específico da Região

Um elemento de destaque nesta campanha é o uso de conteúdo de phishing localizado. Os e-mails são escritos nos idiomas nativos das regiões-alvo — hindi, italiano, tcheco, turco, português e indonésio —, destacando a intenção dos invasores de aumentar o sucesso da infecção por meio de personalização regional.

Mecânica da Infecção: Uma Reação em Cadeia Furtiva

O ResolverRAT utiliza o carregamento lateral de DLLs para iniciar sua cadeia de infecção. O primeiro estágio utiliza um carregador na memória para descriptografar e executar o payload primário, que é criptografado, compactado e nunca gravado em disco. Essas técnicas permitem que ele permaneça indetectável por ferramentas de segurança tradicionais.

Resiliência por Meio da Redundância

Este malware não depende apenas de discrição — ele foi criado para sobreviver. O ResolverRAT utiliza um processo de inicialização em várias etapas com mecanismos de persistência redundantes, incorporando-se em vários locais do sistema de arquivos e do Registro do Windows. Isso garante que, mesmo que parte do malware seja removida, ele possa se restabelecer.

Infraestrutura C2 Avançada: Escondida à Vista de Todos

Uma vez ativo, o ResolverRAT inicia a autenticação baseada em certificado para se comunicar com seu servidor de Comando e Controle (C2), ignorando a validação da autoridade raiz. Ele ainda oferece rotação de IP para alternar servidores C2 caso um deles seja desativado, complicando ainda mais os esforços de detecção e remoção.

Maestria em Evasão: Invisível, mas Presente

Para se manter discreto, o ResolverRAT utiliza fixação de certificados, ofuscação de código-fonte e padrões irregulares de beacons. Esses métodos não apenas ocultam sua presença, mas também anulam as técnicas de detecção padrão usadas em sistemas de segurança.

Exfiltração Silenciosa de Dados

O objetivo principal do malware é receber comandos do servidor C2 e extrair dados. Ele habilmente divide arquivos de dados grandes em blocos de 16 KB, reduzindo o risco de detecção por ferramentas de monitoramento de rede.

Atribuição Ainda não é Clara, mas Padrões Surgem

Embora a campanha de ataque permaneça sem autoria, semelhanças em infraestrutura, temas e técnicas — especialmente o uso de sideload de DLLs e iscas de phishing — sugerem uma possível ligação com ataques documentados anteriormente. Essa sobreposição pode indicar uma rede de afiliados compartilhada ou atividade coordenada de agentes de ameaças.

Conclusão: Uma Ameaça Cibernética Persistente e Evasiva

O ResolverRAT exemplifica a próxima geração de malware — furtivo, adaptável e resiliente. Seu design reflete uma compreensão sofisticada das defesas modernas de segurança cibernética, tornando-o uma ameaça formidável aos setores-alvo e uma preocupação de alta prioridade para os defensores.