SiriusQT: RAT vendido como serviço combina HVNC, roubo de senhas e carteiras cripto

O SiriusQT ilustra a tendência de RATs comerciais que deixaram de ser ferramentas simples de acesso remoto para se tornarem verdadeiros kits de fraude financeira completos, vendidos como serviço por assinatura mensal, trimestral ou vitalícia. Isso baixa a barreira de entrada: qualquer comprador com algumas centenas de dólares ganha acesso a um implante capaz de operar como infraestrutura de fraude ponta a ponta, sem precisar desenvolver nada.

O diferencial técnico é o HVNC (Hidden Virtual Network Computing), que permite ao operador controlar o navegador da própria vítima de dentro da máquina infectada, usando a sessão já autenticada e os cookies, impressão digital de dispositivo e geolocalização legítimos dela. Isso é particularmente perigoso contra bancos e exchanges que usam device fingerprinting e análise comportamental como camada antifraude, porque o tráfego fraudulento parece vir literalmente do computador e da rede do cliente legítimo. Combinado ao roubo de senhas salvas no navegador, tokens de sessão do Discord e carteiras de criptomoedas, e à clonagem de perfis de navegador para sequestro de sessão, o malware dá ao operador tudo que precisa para esvaziar contas e carteiras sem disparar alertas clássicos de login suspeito.

Na prática, os sinais de comprometimento costumam ser sutis: lentidão inexplicada, atividade da webcam/microfone sem uso aparente, processos desconhecidos consumindo rede mesmo em repouso, ou login em serviços financeiros a partir de IP/dispositivo “normal” mas em horários incomuns. Como o ataque frequentemente chega via engenharia social (anexos, cracks de software, instaladores piratas), a defesa primária continua sendo EDR atualizado, não reaproveitar senhas entre serviços, usar autenticação multifator que não dependa só de SMS/push na mesma sessão comprometida, e preferir hardware wallets para criptoativos.

Para instituições financeiras e exchanges, o caso reforça que fingerprinting de dispositivo e geolocalização, isolados, não bastam como sinal antifraude quando o atacante controla a máquina de origem via HVNC — é necessário cruzar esse sinal com análise comportamental (padrão de digitação, velocidade de navegação, horários) e, ao identificar um dispositivo suspeito, forçar reautenticação fora de banda e revogação de todas as sessões ativas.