Como se livrar do malware msaRAT

Que tipo de malware é o msaRAT?

O msaRAT é um Remote Access Trojan (RAT) escrito na linguagem de programação Rust, associado ao grupo do Chaos ransomware. De acordo com a investigação publicada pela Talos Intelligence, ele utiliza uma técnica invulgar de "living off the browser" para manter ocultas as suas comunicações com o servidor do atacante.

Em vez de estabelecer ligações de rede por conta própria, o msaRAT assume o controlo de um navegador Chrome ou Edge já instalado na máquina da vítima e encaminha todo o tráfego do atacante através dele. Isto faz com que a atividade do malware pareça uma utilização normal do navegador, o que é consideravelmente mais difícil de detetar por ferramentas de segurança.

O RAT é distribuído como um instalador MSI que se faz passar por uma atualização de rotina do Windows. As vítimas normalmente não notam nada de invulgar no momento da infeção.

Visão geral do msaRAT

Assim que o instalador é executado, o msaRAT carrega o seu payload diretamente na memória e procura um navegador Chrome ou Edge no sistema, utilizando verificações de variáveis de ambiente e consultas ao Registo do Windows. Uma vez localizado, o navegador é iniciado silenciosamente em modo headless com a depuração remota ativada.

Com o navegador sob o seu controlo, o msaRAT pode capturar capturas de ecrã do ecrã da vítima, executar comandos na máquina e enviar ficheiros de volta ao atacante. A ligação é persistente, o que significa que o atacante mantém o acesso à máquina infetada e pode emitir novas instruções a qualquer momento.

A técnica "living off the browser"

O msaRAT comunica com o servidor do atacante enviando instruções ao navegador sequestrado através do Chrome DevTools Protocol (CDP), uma interface de depuração incorporada presente no Chrome e no Edge. O navegador injeta então JavaScript na sua própria sessão e abre um canal de dados encriptado para o atacante.

O canal de dados é construído sobre WebRTC - uma tecnologia que os navegadores normalmente utilizam para videochamadas e partilha de ficheiros. O msaRAT força todo o tráfego através de um servidor de relay Twilio, para que o endereço IP real do atacante nunca apareça diretamente nos registos de rede.

O tráfego também passa pela infraestrutura da Cloudflare, mascarando ainda mais a sua origem. As próprias comunicações são protegidas por duas camadas de encriptação: o WebRTC fornece uma automaticamente, e o msaRAT adiciona uma segunda utilizando ChaCha20-Poly1305 com chaves negociadas via Elliptic-curve Diffie-Hellman.

Como o msaRAT evita a deteção

Como todas as ligações de saída parecem provir do processo do navegador e não do próprio malware, as ferramentas de segurança que monitorizam programas desconhecidos a estabelecer ligações externas não observarão o msaRAT diretamente na rede. A verdadeira infraestrutura do atacante está oculta por trás da rede de distribuição de conteúdos da Cloudflare e dos servidores de relay da Twilio.

O msaRAT também desativa a Content Security Policy na sessão do navegador que controla através de um comando CDP, e falsifica os cabeçalhos de pedidos HTTP para fazer o tráfego parecer originar de um serviço da Microsoft. O tráfego HTTP é enviado pela porta 443, a porta normalmente associada ao HTTPS, o que pode ajudá-lo a passar despercebido por firewalls que verificam números de porta em vez dos protocolos reais.

Conclusão

O msaRAT é um RAT tecnicamente sofisticado utilizado pelo grupo de ransomware Chaos para manter acesso remoto encoberto a máquinas infetadas. A sua técnica de C2 baseada no navegador torna-o consideravelmente mais difícil de detetar do que os RATs convencionais, pois todo o tráfego parece provir de um navegador legítimo em vez do próprio malware.

Uma infeção coloca as vítimas em risco de roubo de dados, vigilância remota e implementação de payloads adicionais, incluindo ransomware. O malware deve ser removido de qualquer sistema afetado sem demora. Mais exemplos de RATs são Dolphin X, MarkiRAT e Starland.

Como é que o msaRAT se infiltrou no meu computador?

De acordo com a Talos Intelligence, o msaRAT é entregue como um ficheiro de instalador MSI chamado update_ms.msi. É descarregado através de um comando curl por HTTP na porta 443 e disfarçado como uma atualização de rotina do Windows, o que reduz a suspeita da vítima no momento da instalação. Assim que o instalador é executado, o payload do RAT é carregado diretamente na memória.

O grupo Chaos, ativo desde fevereiro de 2025, tem como alvo grandes organizações e ameaça tanto encriptar os seus dados como divulgá-los publicamente a menos que seja pago um resgate. O grupo foi observado a obter acesso inicial através de e-mails de spam e chamadas de phishing por voz, utilizando ferramentas de gestão remota para manter a persistência e serviços legítimos de partilha de ficheiros para exfiltrar os dados roubados.

De forma mais ampla, os RATs e ameaças semelhantes chegam às vítimas através de e-mails de phishing com anexos maliciosos, páginas falsas de descarregamento de software, software pirateado e 'cracks' de software, anúncios maliciosos e dispositivos de armazenamento removível infetados. Descarregar software apenas de fontes oficiais reduz significativamente o risco de infeção.

Como evitar a instalação de malware?

Tenha cuidado com qualquer e-mail inesperado, particularmente um que contenha um anexo ou ligação. Mesmo mensagens que pareçam provir de um remetente de confiança podem ser falsificadas. Descarregue programas apenas de sites oficiais dos programadores ou de lojas de aplicações fiáveis, e evite software pirateado, 'cracks' e geradores de chaves.

Mantenha o seu sistema operativo e todas as aplicações instaladas atualizados para fechar vulnerabilidades de segurança conhecidas. Utilize software de segurança respeitável e execute análises regulares. Se acredita que o seu computador já está infetado, recomendamos executar uma análise com Combo Cleaner Antivirus para Windows para eliminar automaticamente o malware infiltrado.

Remoção automática instantânea do malware:

A remoção manual de ameaças pode ser um processo moroso e complicado que requer conhecimentos informáticos avançados. O Combo Cleaner é uma ferramenta profissional de remoção automática do malware que é recomendada para se livrar do malware. Descarregue-a clicando no botão abaixo:

Ao descarregar qualquer software listado no nosso website, concorda com a nossa Política de Privacidade e Termos de Uso. Para usar a versão completa do produto, precisa de comprar uma licença para Combo Cleaner. 7 dias limitados para teste grátis disponível. O Combo Cleaner pertence e é operado por RCS LT, a empresa-mãe de PCRisk.

Menu rápido:

• O que é o msaRAT?
• PASSO 1. Remoção manual do malware msaRAT.
• PASSO 2. Verifique se o seu computador está limpo.

Como remover malware manualmente?

A remoção manual de malware é uma tarefa complicada - normalmente é melhor permitir que programas antivírus ou anti-malware o façam automaticamente. Para remover este malware, recomendamos utilizar Combo Cleaner Antivirus para Windows.

Se pretender remover o malware manualmente, o primeiro passo é identificar o nome do malware que está a tentar remover. Aqui está um exemplo de um programa suspeito a ser executado no computador de um utilizador:

Se verificou a lista de programas em execução no seu computador, por exemplo, utilizando o gestor de tarefas, e identificou um programa que parece suspeito, deve continuar com estes passos:

Descarregue um programa chamado Autoruns. Este programa mostra as aplicações de arranque automático, o Registo e as localizações do sistema de ficheiros:

Reinicie o seu computador em Modo de Segurança:

Utilizadores do Windows XP e Windows 7: Inicie o seu computador em Modo de Segurança. Clique em Iniciar, clique em Encerrar, clique em Reiniciar, clique em OK. Durante o processo de arranque do computador, prima a tecla F8 no teclado várias vezes até ver o menu de Opções Avançadas do Windows e, em seguida, selecione Modo de Segurança com Rede na lista.

Vídeo que mostra como iniciar o Windows 7 em "Modo de Segurança com Rede":

Utilizadores do Windows 8: Inicie o Windows 8 em Modo de Segurança com Rede - Vá ao Ecrã Inicial do Windows 8, escreva Avançado, nos resultados da pesquisa selecione Definições. Clique em Opções de arranque avançadas, na janela "Definições Gerais do PC" aberta, selecione Arranque avançado.

Clique no botão "Reiniciar agora". O seu computador irá agora reiniciar para o "menu de opções de Arranque Avançado". Clique no botão "Resolução de problemas" e, em seguida, clique no botão "Opções avançadas". No ecrã de opções avançadas, clique em "Definições de arranque".

Clique no botão "Reiniciar". O seu PC irá reiniciar para o ecrã de Definições de Arranque. Prima F5 para arrancar em Modo de Segurança com Rede.

Vídeo que mostra como iniciar o Windows 8 em "Modo de Segurança com Rede":

Utilizadores do Windows 10: Clique no logótipo do Windows e selecione o ícone de Energia. No menu aberto, clique em "Reiniciar" enquanto mantém premido o botão "Shift" no teclado. Na janela "escolha uma opção", clique em "Resolução de problemas", em seguida selecione "Opções avançadas".

No menu de opções avançadas, selecione "Definições de Arranque" e clique no botão "Reiniciar". Na janela seguinte, deve clicar no botão "F5" no teclado. Isto irá reiniciar o seu sistema operativo em modo de segurança com rede.

Vídeo que mostra como iniciar o Windows 10 em "Modo de Segurança com Rede":

Extraia o arquivo descarregado e execute o ficheiro Autoruns.exe.

Na aplicação Autoruns, clique em "Options" no topo e desmarque as opções "Hide Empty Locations" e "Hide Windows Entries". Após este procedimento, clique no ícone "Refresh".

Verifique a lista fornecida pela aplicação Autoruns e localize o ficheiro de malware que pretende eliminar.

Deve anotar o seu caminho e nome completos. Note que alguns malwares ocultam nomes de processos sob nomes de processos legítimos do Windows. Nesta fase, é muito importante evitar remover ficheiros do sistema. Depois de localizar o programa suspeito que pretende remover, clique com o botão direito do rato sobre o seu nome e escolha "Delete".

Após remover o malware através da aplicação Autoruns (isto garante que o malware não será executado automaticamente no próximo arranque do sistema), deve procurar o nome do malware no seu computador. Certifique-se de que ativa os ficheiros e pastas ocultos antes de continuar. Se encontrar o nome do ficheiro do malware, certifique-se de que o remove.

Reinicie o seu computador em modo normal. Seguir estes passos deve remover qualquer malware do seu computador. Note que a remoção manual de ameaças requer competências informáticas avançadas. Se não possui estas competências, deixe a remoção de malware para programas antivírus e anti-malware.

Estes passos podem não funcionar com infeções de malware avançadas. Como sempre, é melhor prevenir a infeção do que tentar remover o malware mais tarde. Para manter o seu computador seguro, instale as atualizações mais recentes do sistema operativo e utilize software antivírus. Para garantir que o seu computador está livre de infeções de malware, recomendamos analisá-lo com Combo Cleaner Antivirus para Windows.

Perguntas Frequentes (FAQ)

O meu computador está infetado com o malware msaRAT, devo formatar o meu dispositivo de armazenamento para me livrar dele?

Formatar o seu dispositivo de armazenamento irá remover o msaRAT, mas também eliminará todos os ficheiros da unidade. Executar um programa de segurança de confiança como o Combo Cleaner é o melhor primeiro passo, já que pode eliminar a infeção sem apagar os seus dados.

Quais são os maiores problemas que o malware msaRAT pode causar?

O msaRAT dá aos atacantes controlo remoto sobre a máquina infetada, permitindo-lhes capturar capturas de ecrã, executar comandos e roubar ficheiros. Uma vez que opera dentro do ecossistema de ransomware Chaos, uma infeção também pode servir como precursor da implementação de ransomware, colocando em risco todos os dados armazenados.

Qual é o objetivo do malware msaRAT?

O msaRAT foi concebido para dar ao grupo de ransomware Chaos acesso remoto encoberto a computadores infetados. Os operadores podem executar comandos, capturar capturas de ecrã e exfiltrar ficheiros, e a ligação persistente pode ser utilizada para entregar payloads adicionais a qualquer momento.

Como é que o malware msaRAT se infiltrou no meu computador?

O msaRAT foi observado a espalhar-se como uma atualização falsa do Windows - um ficheiro de instalador MSI enviado através de um comando curl. O grupo Chaos também utiliza e-mails de spam e phishing por voz para obter acesso inicial. De forma mais ampla, ameaças deste tipo chegam às vítimas através de e-mails de phishing, sites de descarregamento falsos e software pirateado.

O Combo Cleaner protege-me do malware?

Sim. O Combo Cleaner pode detetar e remover a maioria do malware conhecido, incluindo Trojans de acesso remoto. Como as ameaças sofisticadas podem incorporar-se profundamente num sistema, executar uma análise completa é a melhor forma de garantir que a infeção é totalmente eliminada.