Grupo russo financeiramente motivado usa instaladores falsos de Zoom e Webex para espalhar o Starland RAT
Pesquisadores da Cisco Talos identificaram o UAT-11795, ator russo-falante ativo desde meados de 2025, distribuindo instaladores trojanizados de Zoom, Webex, MobaXterm e outras ferramentas para instalar o Starland RAT e o implante em memória WLDR. O objetivo é roubar credenciais de navegador, mapear carteiras de criptomoeda e sequestrar sessões de Discord, Telegram e Steam para uso em fraudes subsequentes.
A Cisco Talos publicou em 16 de julho um relatório técnico detalhando a campanha do UAT-11795, um grupo russo-falante com motivação financeira que, desde ao menos junho de 2025, distribui versões trojanizadas de softwares populares — Zoom, Webex, MobaXterm, DBeaver e até o cliente da plataforma de e-sports FACEIT — para atingir usuários nos Estados Unidos e na Europa.
A engenharia da campanha combina duas frentes. Na primeira, o grupo usa a técnica "ClickFix": convence a vítima a copiar e colar um comando que baixa um arquivo HTA malicioso, um método que vem substituindo o phishing tradicional por explorar a confiança do usuário no próprio sistema operacional em vez de um anexo óbvio. Na segunda, distribui instaladores NSIS que parecem legítimos mas escondem um loader disfarçado de arquivo "LICENSE.txt", decifrado com uma chave XOR simples antes de executar em memória — dificultando a detecção por antivírus baseados em assinatura de arquivo.
A carga final é o Starland RAT, escrito em Python, complementado pelo implante PowerShell WLDR, que roda inteiramente em memória. Juntos, eles têm como alvo credenciais salvas em navegadores Chromium e Firefox, mapeiam mais de 40 carteiras de criptomoeda instaladas na máquina e sequestram sessões ativas de Discord, Telegram e Steam — dados que alimentam fraudes subsequentes, de takeover de conta a golpes financeiros diretos.
A Talos disponibilizou publicamente indicadores de comprometimento (domínios, IPs, hashes e regras Snort) em seu repositório, o que permite que times de segurança corporativa bloqueiem a infraestrutura conhecida. Para usuários finais, a defesa prática passa por dois hábitos: nunca copiar e colar comandos fornecidos por sites ou pop-ups não confiáveis (o padrão ClickFix), e baixar instaladores de software sempre a partir dos domínios oficiais dos fabricantes, verificando assinatura digital antes de executar.