Como remover o malware LabubaRAT do sistema operativo

Que tipo de malware é o LabubaRAT?

O LabubaRAT é um Remote Access Trojan (RAT) escrito na linguagem de programação Rust que se disfarça de software da NVIDIA. A amostra analisada foi denominada nvidia-sysruntime.exe e apresentava informações de versão e marca falsas da NVIDIA para parecer uma ferramenta legítima do sistema.

De acordo com uma investigação publicada pela Blackpoint Cyber, o LabubaRAT confere aos operadores controlo remoto sobre as máquinas infetadas. Uma vez ativo, permite que os atacantes executem comandos, capturem capturas de ecrã, giram ficheiros e encaminhem tráfego através da ligação à Internet da vítima utilizando um proxy SOCKS5.

O malware foi concebido com um modelo de configuração flexível que permite que diferentes operadores implementem o mesmo binário com definições exclusivas - endereços de servidor, chaves de API e identificadores de campanha - sem o recompilar. Isto aponta para uma configuração de Malware-as-a-Service (MaaS), em que o LabubaRAT é disponibilizado a vários clientes criminosos.

Visão geral do LabubaRAT

O LabubaRAT contacta os seus operadores através de um canal HTTPS encriptado, consultando regularmente um servidor remoto em busca de novas instruções. O painel de comando e controlo (C2) do malware foi identificado com o nome "LabubaPanel". O estado local é armazenado num ficheiro de base de dados SQLite chamado nvctr_sys.db. Se o canal principal estiver indisponível, recorre ao encaminhamento de pedidos através do Windows WebView2 ou através de encapsulamento DNS com codificação Base32.

Quando é executado pela primeira vez, o LabubaRAT cria um perfil do computador infetado e envia um relatório de registo de volta para o servidor do atacante. Isto inclui o nome de anfitrião, o modelo do CPU, a RAM, o endereço IP público, o tipo de ligação e a associação a domínio. O malware também procura navegadores instalados e produtos de segurança ativos, incluindo o Microsoft Defender, CrowdStrike, SentinelOne, Sophos, Malwarebytes, Kaspersky e vários outros.

Capacidades do LabubaRAT

Os operadores podem enviar comandos que são executados na Linha de Comandos do Windows, no PowerShell ou como JavaScript através do Windows Script Host. Os resultados são enviados de volta para o painel do operador em tempo real, dando ao atacante uma visão interativa direta do sistema.

O LabubaRAT inclui funções de gestão de ficheiros que permitem aos operadores carregar ficheiros para a máquina infetada, descarregar ficheiros dela, eliminar ficheiros, criar diretórios e comprimir ou extrair arquivos. Estas capacidades permitem a um atacante instalar payloads adicionais, roubar documentos ou modificar ficheiros no sistema.

A captura de ecrã também é suportada - o RAT pode tirar capturas de ecrã do ambiente de trabalho da vítima silenciosamente e a pedido. A função de proxy SOCKS5 permite aos atacantes encaminhar o seu próprio tráfego através da ligação de internet da vítima, mascarando eficazmente a origem do atacante ou dando-lhes acesso a recursos de rede visíveis apenas a partir da localização da vítima.

Persistência e evasão

O LabubaRAT estabelece persistência ao adicionar uma entrada no Registo do Windows na chave Run do utilizador atual (HKCU\Run), o que faz com que seja iniciado automaticamente sempre que o utilizador inicia sessão. O malware aceita um argumento --install para criar esta entrada e um argumento --uninstall para a remover.

Para evasão, a amostra é criada como uma aplicação Windows de 64 bits com aparência legítima, contendo metadados falsos da NVIDIA. Utiliza um mutex chamado Local\NVIDIAContainerMonitor_SingleInstance para evitar que várias cópias sejam executadas em simultâneo - uma característica comportamental de software real que a ajuda a misturar-se com processos genuínos da NVIDIA.

Os valores de configuração - incluindo o endereço do servidor C2, as chaves da API e a etiqueta do grupo do operador - podem ser passados como argumentos de linha de comandos codificados em Base64, tornando-os mais difíceis de detetar durante uma revisão básica de registos. Definições adicionais são lidas a partir de variáveis de ambiente com o prefixo ZM_.

Conclusão

O LabubaRAT dá aos atacantes controlo remoto total sobre as máquinas infetadas. Podem executar comandos, capturar o ecrã, gerir ficheiros e encaminhar tráfego através da ligação da vítima - tudo isto enquanto permanecem completamente invisíveis para a vítima.

A sua utilização de marca falsa da NVIDIA, persistência baseada no registo e múltiplos canais de comunicação de recurso tornam-no uma ameaça furtiva e resistente. O LabubaRAT deve ser removido de qualquer sistema afetado imediatamente.

Mais exemplos de RATs são o RemotePE, MODBEACON e Navi.

Como é que o LabubaRAT se infiltrou no meu computador?

Os investigadores da Blackpoint Cyber analisaram uma amostra do LabubaRAT chamada nvidia-sysruntime.exe que se fazia passar pelo NVIDIA Container Runtime Monitor. Continha informações de versão e marca da NVIDIA de aparência autêntica para fazer os utilizadores acreditarem que era um controlador ou componente de sistema genuíno.

O malware que se faz passar por software conhecido é normalmente propagado através de sites de descarga falsos concebidos para se parecerem com páginas oficiais de fornecedores, através de e-mails de phishing com anexos de ficheiros maliciosos e através de ligações enviadas em conversas de redes sociais ou aplicações de mensagens.

Outros caminhos de infeção comuns incluem descargas de software não oficiais, programas piratas e cracks ou geradores de chaves. Os atacantes disfarçam frequentemente ficheiros maliciosos como utilitários de sistema conhecidos ou aplicações populares, porque é mais provável que os utilizadores os executem sem suspeita.

Como evitar a instalação de malware?

Descarregue software apenas do site oficial do programador ou de uma plataforma verificada. Nunca utilize cracks, geradores de chaves ou software pirata - estes estão entre as fontes mais comuns de malware. Tenha cuidado com anexos de e-mail e ligações em mensagens, mesmo quando o remetente parece familiar. Evite clicar em anúncios ou pop-ups suspeitos e recuse pedidos de notificação do navegador de sites em que não confia.

Mantenha o sistema operativo e todas as aplicações instaladas atualizados para corrigir vulnerabilidades de segurança que os atacantes possam explorar. Utilize um programa antivírus ou anti-malware de boa reputação e analise o seu computador regularmente. Se acredita que o seu computador já está infetado, recomendamos executar uma análise com o Combo Cleaner Antivirus para Windows para eliminar automaticamente o malware infiltrado.

Remoção automática instantânea do malware:

A remoção manual de ameaças pode ser um processo moroso e complicado que requer conhecimentos informáticos avançados. O Combo Cleaner é uma ferramenta profissional de remoção automática do malware que é recomendada para se livrar do malware. Descarregue-a clicando no botão abaixo:

Ao descarregar qualquer software listado no nosso website, concorda com a nossa Política de Privacidade e Termos de Uso. Para usar a versão completa do produto, precisa de comprar uma licença para Combo Cleaner. 7 dias limitados para teste grátis disponível. O Combo Cleaner pertence e é operado por RCS LT, a empresa-mãe de PCRisk.

Menu rápido:

• O que é o LabubaRAT?
• PASSO 1. Remoção manual do malware LabubaRAT.
• PASSO 2. Verifique se o seu computador está limpo.

Como remover malware manualmente?

A remoção manual de malware é uma tarefa complicada - normalmente é melhor permitir que programas antivírus ou anti-malware o façam automaticamente. Para remover este malware, recomendamos utilizar o Combo Cleaner Antivirus para Windows.

Se pretender remover malware manualmente, o primeiro passo é identificar o nome do malware que está a tentar remover. Aqui está um exemplo de um programa suspeito a ser executado no computador de um utilizador:

Se verificou a lista de programas em execução no seu computador, por exemplo, utilizando o gestor de tarefas, e identificou um programa que parece suspeito, deve continuar com estes passos:

Descarregue um programa chamado Autoruns. Este programa mostra aplicações de arranque automático, o Registo e as localizações do sistema de ficheiros:

Reinicie o seu computador em Modo de Segurança:

Utilizadores do Windows XP e Windows 7: Inicie o seu computador em Modo de Segurança. Clique em Iniciar, clique em Encerrar, clique em Reiniciar, clique em OK. Durante o processo de arranque do seu computador, prima a tecla F8 no seu teclado várias vezes até ver o menu Opções Avançadas do Windows e, em seguida, selecione Modo de Segurança com Rede na lista.

Vídeo que mostra como iniciar o Windows 7 em "Modo de Segurança com Rede":

Utilizadores do Windows 8: Iniciar o Windows 8 em Modo de Segurança com Rede - Vá para o Ecrã Inicial do Windows 8, escreva Avançadas, nos resultados da pesquisa selecione Definições. Clique em Opções de arranque avançadas, na janela "Definições Gerais do PC" aberta, selecione Arranque avançado.

Clique no botão "Reiniciar agora". O seu computador irá agora reiniciar no "menu de opções de Arranque Avançado". Clique no botão "Resolução de problemas" e, em seguida, clique no botão "Opções avançadas". No ecrã de opções avançadas, clique em "Definições de arranque".

Clique no botão "Reiniciar". O seu PC irá reiniciar no ecrã de Definições de Arranque. Prima F5 para arrancar em Modo de Segurança com Rede.

Vídeo que mostra como iniciar o Windows 8 em "Modo de Segurança com Rede":

Utilizadores do Windows 10: Clique no logótipo do Windows e selecione o ícone de Energia. No menu aberto, clique em "Reiniciar" enquanto mantém premido o botão "Shift" no seu teclado. Na janela "escolha uma opção", clique em "Resolução de problemas" e, em seguida, selecione "Opções avançadas".

No menu de opções avançadas, selecione "Definições de Arranque" e clique no botão "Reiniciar". Na janela seguinte, deve clicar no botão "F5" do seu teclado. Isto irá reiniciar o seu sistema operativo em modo de segurança com rede.

Vídeo que mostra como iniciar o Windows 10 em "Modo de Segurança com Rede":

Extraia o arquivo descarregado e execute o ficheiro Autoruns.exe.

Na aplicação Autoruns, clique em "Options" no topo e desmarque as opções "Hide Empty Locations" e "Hide Windows Entries". Após este procedimento, clique no ícone "Refresh".

Verifique a lista fornecida pela aplicação Autoruns e localize o ficheiro de malware que pretende eliminar.

Deve anotar o seu caminho completo e nome. Note que algum malware oculta os nomes de processos sob nomes de processos legítimos do Windows. Nesta fase, é muito importante evitar remover ficheiros de sistema. Depois de localizar o programa suspeito que pretende remover, clique com o botão direito do rato sobre o seu nome e escolha "Delete".

Depois de remover o malware através da aplicação Autoruns (isto garante que o malware não será executado automaticamente no próximo arranque do sistema), deve procurar o nome do malware no seu computador. Certifique-se de ativar os ficheiros e pastas ocultos antes de prosseguir. Se encontrar o nome do ficheiro do malware, certifique-se de o remover.

Reinicie o seu computador em modo normal. Seguir estes passos deve remover qualquer malware do seu computador. Note que a remoção manual de ameaças requer competências informáticas avançadas. Se não tiver estas competências, deixe a remoção de malware para programas antivírus e anti-malware.

Estes passos podem não funcionar com infeções de malware avançadas. Como sempre, é melhor prevenir a infeção do que tentar remover o malware mais tarde. Para manter o seu computador seguro, instale as atualizações mais recentes do sistema operativo e utilize software antivírus. Para ter a certeza de que o seu computador está livre de infeções de malware, recomendamos analisá-lo com o Combo Cleaner Antivirus para Windows.

Perguntas Frequentes (FAQ)

O meu computador está infetado com o malware LabubaRAT, devo formatar o meu dispositivo de armazenamento para me livrar dele?

Formatar o dispositivo de armazenamento irá remover o LabubaRAT, mas também irá eliminar todos os ficheiros na unidade. Uma ferramenta de segurança de boa reputação como o Combo Cleaner deve ser experimentada primeiro. A reformatação deve ser tratada como último recurso.

Quais são os maiores problemas que o malware LabubaRAT pode causar?

O LabubaRAT dá aos atacantes controlo remoto sobre a máquina infetada. Podem executar comandos, capturar capturas de ecrã, roubar ficheiros e encaminhar o seu tráfego através da ligação da vítima. Isto pode levar a roubo de dados, fraude de identidade e à instalação de malware adicional.

Qual é o objetivo do malware LabubaRAT?

O LabubaRAT é concebido para dar aos operadores remotos controlo total sobre os computadores infetados. O seu objetivo é permitir aos atacantes emitir comandos, roubar ficheiros, capturar o ecrã e utilizar o dispositivo da vítima como um retransmissor de tráfego - tudo isto enquanto permanecem ocultos do utilizador.

Como é que o malware LabubaRAT se infiltrou no meu computador?

A amostra analisada fazia-se passar por software da NVIDIA com o nome de ficheiro nvidia-sysruntime.exe. Ameaças deste tipo normalmente chegam às vítimas através de sites de descarga falsos, e-mails de phishing, mensagens de redes sociais ou software pirata e cracks.

O Combo Cleaner irá proteger-me de malware?

Sim. O Combo Cleaner pode detetar e remover a maioria do malware conhecido, incluindo ameaças como o LabubaRAT. É recomendado executar uma análise completa do sistema para garantir que nada é esquecido, uma vez que as ameaças avançadas podem por vezes ocultar-se em partes inesperadas do sistema.