Hackers russos trojanizam WebEx e Zoom para espalhar o backdoor Starland e roubar criptomoedas
O grupo financeiramente motivado UAT-11795 distribui instaladores adulterados de softwares populares (WebEx, Zoom, MobaXterm, DBeaver, FaceIT) para instalar o novo backdoor Starland RAT. A ameaça rouba credenciais, dados do Active Directory e visa mais de 40 carteiras de criptomoedas, atingindo principalmente usuários nos EUA, além de vítimas na Alemanha, Romênia e Venezuela.
Pesquisadores da Cisco Talos documentaram a atividade do UAT-11795, um ator de ameaça russo com motivação puramente financeira, ativo desde junho de 2025. Em vez de mirar organizações via exploração de vulnerabilidades, o grupo aposta em uma tática mais barata e escalável: trojanizar instaladores de softwares legítimos e amplamente usados — WebEx, Zoom, MobaXterm, DBeaver e FaceIT — para que a própria vítima execute o malware acreditando estar instalando uma ferramenta confiável.
A cadeia de infecção provavelmente começa com a técnica ClickFix, na qual a vítima é induzida (por página falsa ou instrução enganosa) a copiar e executar um comando que baixa um arquivo HTA; esse arquivo puxa um instalador NSIS trojanizado contendo um carregador Python disfarçado de arquivo de texto simples. A carga final é o Starland RAT, um backdoor com funções de captura de tela, execução de comandos via shell, injeção de shellcode e capacidade de baixar payloads adicionais, incluindo o infostealer CastleStealer e o já conhecido Remcos RAT — formando uma cadeia de múltiplas ferramentas maliciosas trabalhando em conjunto.
O alvo financeiro é explícito: o malware varre o sistema em busca de dados de mais de 40 carteiras de criptomoedas diferentes, além de credenciais salvas em navegadores e informações do Active Directory, que podem ser usadas tanto para roubo direto de fundos quanto para movimento lateral em ambientes corporativos comprometidos.
A melhor defesa aqui é tratar instaladores de software, mesmo de marcas conhecidas, como potencialmente perigosos quando baixados fora dos canais oficiais (site do fabricante, loja oficial), verificando hashes/assinaturas digitais sempre que possível. É fundamental treinar usuários e equipes de TI para reconhecer e nunca executar comandos de ClickFix — a instrução de copiar e colar algo no terminal para 'resolver um erro' é hoje um dos vetores de infecção mais usados por grupos financeiramente motivados. Times de segurança devem monitorar tráfego de rede para infraestrutura de C2 conhecida e para APIs de carteiras cripto, e revogar credenciais e sessões imediatamente caso um instalador suspeito tenha sido executado em qualquer máquina.