SilabRAT: trojan de acesso remoto vendido por US$5 mil/mês foca em roubo de criptomoedas
A Group-IB detalhou o SilabRAT (também chamado SnappyClient), um RAT avançado desenvolvido pelo ator conhecido como o1oo1 e vendido como Malware-as-a-Service em fóruns russos de cibercrime por assinatura mensal de US$5.000. O módulo AutoWallet automatiza a quebra de senhas de carteiras cripto, enquanto técnicas de bypass da criptografia do Chrome e evasão avançada (HVNC, AMSI, UAC) dificultam a detecção.
O rastreamento da Group-IB reconstitui a trajetória do desenvolvedor conhecido como o1oo1, ativo em fóruns de cibercrime desde 2020 com atividades básicas como venda de credenciais roubadas. A partir de 2023, o ator evoluiu para um patamar mais sofisticado, lançando primeiro o AsmCrypt — um crypter que oferece ofuscação em C puro com evasão em tempo de execução e na nuvem — e depois o próprio SilabRAT, hoje comercializado como serviço por assinatura mensal de US$5.000 em fóruns de destaque no submundo russo (Exploit, XSS, WWH, RAMP). Cada comprador opera seu próprio servidor de comando e controle, o que dá independência operacional e dificulta o rastreamento centralizado da ameaça.
O diferencial técnico do SilabRAT está concentrado no roubo de ativos cripto: o módulo AutoWallet automatiza continuamente a tentativa de quebrar senhas de carteiras de criptomoeda recuperadas do disco da vítima, reduzindo a dependência de ferramentas externas de cracking. Para acessar dados protegidos, o malware usa elevação via COM (GoogleChromeElevationService) para contornar a criptografia app-bound introduzida no Chrome 127+, e ainda é capaz de clonar o perfil inteiro do navegador da vítima para o ambiente do atacante — driblando defesas modernas como device fingerprinting e IP binding que dependem de reconhecer o dispositivo original.
No quesito evasão, o SilabRAT reúne um arsenal considerável: HVNC (Hidden Virtual Network Computing) para controle remoto sem indicadores visuais na tela da vítima, bypass das funções de escaneamento do AMSI, elevação de privilégio contornando o UAC via interface COM ICMLuaUtil, e manipulação da PEB do processo para confundir debuggers e ferramentas forenses.
Diante de uma ameaça desse nível, a recomendação prática inclui manter Chrome e sistema operacional sempre atualizados, priorizar carteiras hardware/cold storage para valores relevantes em criptomoeda, restringir e auditar operações de elevação de privilégio (UAC) e serviços associados ao Chrome, aplicar MFA em todas as contas críticas e monitorar indicadores de comprometimento associados a essa família de malware. Como o SilabRAT é vendido amplamente como serviço, times de inteligência de ameaças devem acompanhar sua evolução em fóruns de cibercrime, já que novas variantes tendem a surgir rapidamente.