Starland RAT: campanha usa instaladores falsos para roubar cripto

A Cisco Talos divulgou em 16 de julho de 2026 a análise de um grupo criminoso que a equipe rastreia como UAT-11795, ativo pelo menos desde junho de 2025 e voltado a ganho financeiro direto. A operação distribui instaladores adulterados de programas populares — entre eles MobaXterm, Zoom, Cisco WebEx, DBeaver Community Edition e o cliente da plataforma de jogos FACEIT — para implantar na máquina da vítima um cavalo de Troia de acesso remoto escrito em Python, batizado pelos pesquisadores de Starland RAT.

O alvo principal são credenciais e ativos em criptomoedas. Segundo a telemetria da Talos, a maior parte das infecções está nos Estados Unidos, com incidência menor na Alemanha, na Romênia e na Venezuela — estimativa derivada da resolução passiva de DNS dos domínios de comando e controle (C2) associados à campanha, e não de uma contagem direta de vítimas.

O caso interessa a equipes de segurança brasileiras por dois motivos. O primeiro é o perfil do software imitado: ferramentas de administração de sistemas, clientes de banco de dados e plataformas de videoconferência são exatamente o que profissionais de TI baixam com frequência e, muitas vezes, fora do repositório corporativo. O segundo é o desenho do implante, que combina técnicas conhecidas de forma pouco usual, incluindo o uso de um contrato inteligente na blockchain Polygon como canal de recuperação de infraestrutura.

Contexto: por que instaladores adulterados voltaram ao centro do problema

A distribuição de malware embutido em instaladores legítimos não é novidade, mas ganhou tração recente por acompanhar mudanças no comportamento das vítimas. Buscas por “download” de utilitários levam usuários a páginas intermediárias, e os atacantes exploram esse caminho com anúncios, sites clonados e, cada vez mais, com a técnica de engenharia social conhecida como ClickFix.

O ClickFix, documentado publicamente desde 2024 e analisado pela Microsoft em agosto de 2025, apresenta ao visitante uma tela que imita uma verificação de CAPTCHA, um erro de reunião ou um aviso de atualização. A página instrui a pessoa a abrir a caixa “Executar” do Windows e colar um comando que o próprio site já copiou para a área de transferência. Como a execução parte do usuário, muitos controles baseados em reputação de download não são acionados.

A Talos avalia que o acesso inicial nesta campanha ocorre provavelmente por ClickFix, levando à execução de um arquivo HTA remoto por meio do mshta.exe, binário nativo do Windows. Vale registrar que a equipe classifica esse vetor como provável, e não como confirmado em todos os casos.

O que a Talos encontrou

A cadeia de infecção descrita pelos pesquisadores tem várias etapas encadeadas:

1. O arquivo HTA executa um VBScript embutido que grava um arquivo em lote na pasta temporária do perfil do usuário.
2. Esse arquivo em lote baixa o instalador adulterado a partir de um domínio de estágio controlado pelo atacante.
3. Ao ser executado, o instalador — empacotado com NSIS (Nullsoft Scriptable Install System) — roda um carregador Python compilado, disfarçado como um arquivo chamado LICENSE.txt, usando um pythonw.exe embarcado no próprio pacote.
4. O carregador decifra e executa o Starland RAT diretamente na memória.

Em paralelo, o VBScript grava persistência na chave de registro HKCU\Software\Microsoft\Windows\CurrentVersion\Run, com o valor genérico “MyApp”, apontando de volta para o mshta.exe e o HTA remoto.

Um detalhe relevante para atribuição: a Talos identificou um comentário em russo deixado pelo desenvolvedor dentro do VBScript, indicando um operador de língua russa. Atribuição por idioma de comentário é um indício, não uma prova de origem geográfica.

A amplitude dos softwares imitados — ferramentas de desenvolvedor, utilitários de administração, colaboração corporativa e um aplicativo de jogos — sugere um modelo oportunista, orientado a volume, e não uma campanha dirigida a um setor específico.

Aspectos técnicos do Starland RAT

O implante é escrito em Python e projetado especificamente para Windows. Antes de qualquer ação maliciosa, ele executa verificações antianálise: compara o nome do usuário logado com uma lista fixa de contas típicas de sandbox (incluindo WDAGUtilityAccount) e o nome da máquina com hosts reconhecidos de ambientes como Cuckoo, Any.Run, Joe Sandbox e Hybrid Analysis. Se houver correspondência, o processo termina. O RAT também checa se o instalador na pasta Downloads carrega o fluxo de dados alternativo Zone.Identifier, o que confirma que o arquivo veio de um download por navegador e não de uma cópia manual — um sinal de execução em ambiente real.

A persistência é estabelecida antes de qualquer comunicação de rede, por meio de uma tarefa agendada criada com New-ScheduledTask e nome aleatório no padrão PythonLauncher-{três caracteres}, além de um atalho na pasta de Inicialização do usuário.

O reconhecimento do host coleta identificador de hardware, memória instalada, antivírus registrado e, quando a máquina pertence a um domínio, informações de estrutura de diretório e privilégios. O RAT captura ainda uma imagem da área de trabalho, codifica em Base64 e a descarta do disco, e enumera a presença de mais de 40 carteiras de criptomoedas, entre aplicativos de desktop e extensões de navegador.

Todo esse pacote é consolidado em JSON, cifrado com uma operação XOR de chave curta, codificado em Base64 e enviado ao C2 por HTTP POST. A cifra XOR com chave fixa não oferece confidencialidade real — serve apenas para dificultar inspeção superficial e assinaturas simples.

O ponto mais incomum está no plano B de infraestrutura. Se o registro no C2 primário falha, o implante consulta, via JSON-RPC público, um contrato inteligente na rede Polygon que armazena um domínio alternativo cifrado com XOR. Recuperado o domínio, o RAT retoma o registro. Na prática, o atacante ganha um canal de atualização de infraestrutura que é público, barato de manter e difícil de derrubar por remoção de domínio, já que o dado vive em uma blockchain.

Os comandos aceitos pelo RAT após o registro são poucos e diretos:

O intervalo de consulta ao C2 fica entre 50 e 60 segundos.

O implante WLDR e as cargas secundárias

Em um dos casos investigados, o operador usou o comando de shell do Starland RAT para baixar, via curl, um estágio PowerShell de um framework de C2 até então não documentado, que a Talos passou a chamar de WLDR — nome derivado da designação interna usada pelo próprio autor nos scripts.

O agente WLDR opera inteiramente em memória. Ele deriva um identificador de hardware do número de série do volume C:, que é anexado às URLs de C2; o servidor só responde a requisições cujo identificador já esteja pré-registrado. A comunicação usa AES-256 em modo CBC com HMAC-SHA256, chaves derivadas por PBKDF2-SHA256 sobre um sal aleatório com 5.000 iterações, e vetor de inicialização novo a cada mensagem. Os cabeçalhos HTTP imitam uma sessão do Chrome.

A execução de tarefas se apoia em um RunspacePool do PowerShell com até 10 threads simultâneas, com envio incremental da saída ao operador — o que torna o implante adequado a operações interativas e monitoramento contínuo, e não apenas a comandos pontuais.

O UAT-11795 mantém ainda duas cargas alternativas: o CastleStealer, um infostealer em .NET que busca credenciais em navegadores baseados em Chromium e no Firefox, sessões de Discord, Telegram e Steam, além de extensões de carteiras; e uma variante do Remcos RAT, ferramenta comercial de administração remota criada em 2016 e desviada de sua finalidade por diversos grupos criminosos desde então.

Impactos, possibilidades e limitações

O que torna esta campanha relevante não é sofisticação isolada, mas a combinação de escolhas de engenharia que reduzem atrito para o atacante. Escrever o RAT em Python e carregá-lo em memória a partir de um instalador NSIS legítimo dificulta a detecção por assinatura de binário. Ancorar o domínio reserva em um contrato inteligente elimina a dependência de um único ponto de falha na infraestrutura. Usar bots do Telegram para notificação imediata permite ao operador priorizar vítimas com carteiras de criptomoedas antes mesmo do registro completo no C2.

Há limites claros no que se pode afirmar. A telemetria de resolução de DNS indica onde os domínios foram consultados, não necessariamente quantas máquinas foram comprometidas nem qual o prejuízo financeiro. Não há, na publicação da Talos, estimativa de perdas nem número de vítimas confirmadas. A avaliação de que o vetor inicial é ClickFix é apresentada como provável. E a atribuição a um operador de língua russa se apoia em artefatos de idioma, que podem ser deliberadamente plantados.

Para quem defende ambientes corporativos, o ponto prático é que controles centrados apenas em bloqueio de anexo de e-mail não cobrem esta cadeia. A infecção começa com um download voluntário e uma execução autorizada pelo próprio usuário.

Recomendações

• Restrinja a instalação de software a repositórios internos aprovados e bloqueie a execução de instaladores baixados de fontes não corporativas em máquinas de administração.
• Monitore execuções de mshta.exe que carreguem conteúdo remoto, especialmente quando disparadas a partir de navegadores ou da caixa “Executar”.
• Habilite e centralize os logs de criação de processos (evento 4688 do Windows ou equivalente do EDR), de blocos de script do PowerShell e de criação de tarefas agendadas. A tarefa PythonLauncher- com três caracteres aleatórios é um artefato observável.
• Alerte para gravações na chave HKCU\Software\Microsoft\Windows\CurrentVersion\Run e para atalhos criados na pasta de Inicialização apontando para interpretadores como pythonw.exe.
• Trate consultas a endpoints JSON-RPC públicos de blockchain partindo de estações de trabalho como anomalia digna de investigação, quando não houver justificativa de negócio.
• Aplique as assinaturas ClamAV e as regras Snort publicadas pela Talos, e consuma os indicadores de comprometimento a partir do repositório oficial da equipe no GitHub.
• Reforce o treinamento contra ClickFix: nenhum site legítimo pede que o usuário cole um comando na caixa “Executar” do Windows.

Conclusão

O UAT-11795 não representa uma ruptura técnica, mas mostra bem o estado atual do crime financeiro digital: cadeias longas, componentes modulares, infraestrutura redundante e uma etapa inicial que depende da decisão do usuário, não de uma falha de software. A campanha segue ativa segundo a Talos, e a existência de cargas alternativas — CastleStealer e Remcos — indica que o operador pode variar o objetivo final sem reconstruir a cadeia.

O que vale acompanhar nos próximos meses é se o uso de contratos inteligentes como canal de resiliência de C2 se dissemina. Se isso acontecer, parte da estratégia de resposta baseada em derrubada de domínios perde eficácia, e o peso da defesa migra ainda mais para detecção comportamental no endpoint.

Fontes e referências

• Cisco Talos — UAT-11795 deploys novel Starland RAT and bespoke WLDR C2 implant in financially motivated campaign (16 de julho de 2026): blog.talosintelligence.com
• Cisco Talos — Repositório de indicadores de comprometimento (IOCs) da campanha: github.com/Cisco-Talos/IOCs
• Microsoft Security Blog — Think before you Click(Fix): Analyzing the ClickFix social engineering technique (21 de agosto de 2025): microsoft.com
• Proofpoint — Security Brief: ClickFix Social Engineering Technique Floods Threat Landscape: proofpoint.com
• Group-IB — ClickFix: The Social Engineering Technique Hackers Use to Manipulate Victims: group-ib.com
• Cisco Talos — Introduction to COM usage by Windows threats (25 de junho de 2026): blog.talosintelligence.com