Como remover o malware QuimaRAT do sistema operativo

Que tipo de malware é o QuimaRAT?

O QuimaRAT é um Remote Access Trojan (RAT) baseado em Java, vendido a cibercriminosos como um serviço por subscrição. Este modelo, conhecido como Malware-as-a-Service (MaaS), permite que qualquer pessoa que pague a taxa implante o RAT contra alvos à sua escolha.

De acordo com a investigação publicada pela equipa SpiderLabs da LevelBlue, o QuimaRAT tem como alvo Windows, macOS e Linux. Dá aos operadores controlo remoto total sobre os dispositivos infetados e pode roubar palavras-passe, registar as teclas premidas e aceder à webcam e ao microfone da vítima.

O malware é comercializado como "QuimaRAT v2.0" em fóruns da dark web. No Windows, é executado totalmente oculto, sem janelas visíveis, sem ícone na bandeja do sistema e sem qualquer vestígio da sua atividade que a vítima possa notar.

Visão geral do QuimaRAT

O QuimaRAT é construído em torno de uma arquitetura modular que permite aos operadores expandir as suas capacidades através de plugins encriptados. Liga-se ao servidor de comando e controlo do atacante via TCP, WebSocket, TLS ou HTTPS, com um componente de watchdog a manter a ligação ativa.

O conjunto completo inclui quatro componentes: Quima Control (o próprio RAT), Quima Builder, Quima Loader e Quima Dropper. O Loader prepara payloads através da cache do navegador, misturando-se com ficheiros nos quais o sistema operativo já confia para evitar a deteção por software de segurança.

O RAT está escrito em Java e foi construído com o Apache Maven, com as definições do operador armazenadas num ficheiro de configuração encriptado. No arranque, verifica a existência de ambientes de sandbox ou máquina virtual e pode alterar o seu comportamento em conformidade, dificultando a análise automatizada.

Capacidades do QuimaRAT

O QuimaRAT vem com mais de 70 módulos para Windows e 44 para macOS e Linux. As principais funcionalidades de controlo remoto incluem acesso de ambiente de trabalho remoto, HVNC (um canal oculto de controlo de ecrã), captura de webcam e microfone, keylogging em tempo real e captura de capturas de ecrã.

Um módulo integrado de roubo de credenciais recupera palavras-passe e tokens em mais de 14 categorias. Isto abrange dados de início de sessão guardados do Chrome, Firefox e navegadores semelhantes, juntamente com Discord, Steam e várias carteiras de criptomoeda e extensões de navegador de carteiras.

Os operadores também podem navegar e gerir ficheiros no sistema infetado, executar comandos através de uma shell remota, visualizar ou terminar processos e encaminhar tráfego através de funcionalidades de proxy reverso e reencaminhamento de portas.

O malware suporta adicionalmente injeção de DLL e pode descarregar e executar payloads adicionais a pedido. Inclui um crypto clipper integrado que monitoriza a área de transferência e substitui silenciosamente os endereços de carteira de criptomoeda copiados por aqueles pertencentes ao atacante.

Persistência e evasão de defesas

O QuimaRAT estabelece persistência de forma diferente em cada plataforma suportada. No Windows, escreve nas chaves Run do Registo do Windows, cria tarefas agendadas e adiciona entradas às pastas de arranque. No Linux, utiliza tarefas de reinício do crontab e entradas de arranque automático do ambiente de trabalho. No macOS, instala ficheiros plist do LaunchAgent.

Para dificultar a deteção e remoção, o malware pode desativar o Windows Defender e a firewall, e contornar o Controlo de Conta de Utilizador. Aplica ofuscação ProGuard e encriptação de strings AES-256 para retardar a engenharia inversa. Os operadores também podem ativar uma opção baseada em Pastebin para rotação de endereços de servidor C2.

O Quima Builder empacota o implante em doze formatos de saída, incluindo JAR, EXE, APP, SH, BAT, VBS e binários nativos. O mesmo RAT central pode, portanto, ser implementado em todas as três plataformas suportadas sem necessidade de alterações de código.

Preços do QuimaRAT

O QuimaRAT é vendido num modelo de subscrição por níveis. Os preços são de 150 $ por mês, 300 $ por três meses, 500 $ por seis meses, 700 $ por doze meses ou 1200 $ por uma licença vitalícia. É anunciado em fóruns de cibercriminosos na dark web juntamente com ferramentas MaaS semelhantes.

Conclusão

O QuimaRAT fornece aos cibercriminosos um conjunto abrangente de ferramentas para controlo remoto, roubo de credenciais, sequestro da área de transferência e implementação de mais malware. O seu design furtivo e as funcionalidades anti-deteção significam que a maioria das vítimas não tem qualquer indicação de que o malware está a ser executado. Se o QuimaRAT estiver no seu sistema, deve ser removido imediatamente.

Mais exemplos de RATs são msaRAT, Dolphin X e Starland.

Como é que o QuimaRAT se infiltrou no meu computador?

Os investigadores da LevelBlue SpiderLabs, Chen Aviani e Nikita Kazymirskyi, documentaram que o QuimaRAT é vendido em fóruns da dark web como um serviço de subscrição. Os operadores compram acesso e utilizam o Quima Builder para produzir os seus próprios payloads, distribuindo-os depois através dos métodos que escolherem.

Não foram identificadas publicamente quaisquer campanhas ativas específicas no momento da escrita, pelo que o método de entrega em qualquer incidente concreto depende do operador individual. As opções comuns incluem e-mails de phishing com anexos maliciosos, páginas falsas de descarregamento de software e pacotes de software pirateado ou craqueado.

Malware deste tipo também se propaga através de malvertising, sites de descarregamento não oficiais e engenharia social. Como o builder suporta doze formatos de saída (incluindo EXE, JAR, VBS e SH), os payloads do QuimaRAT podem ser empacotados para se parecerem com quase qualquer tipo de ficheiro.

Como evitar a instalação de malware?

Descarregue software apenas a partir de sites oficiais dos programadores e de lojas de aplicações verificadas. Ignore e-mails não solicitados com anexos ou links de remetentes desconhecidos. Nunca utilize software pirateado, geradores de chaves ou cracks de software, pois estes servem regularmente como veículo para malware oculto.

Mantenha o seu sistema operativo e todas as aplicações instaladas atualizados e execute software antivírus ou anti-malware de boa reputação. Tenha cuidado com as notificações de navegador de sites desconhecidos. Se acredita que o seu computador já está infetado, recomendamos executar uma análise com o Combo Cleaner Antivirus para Windows para eliminar automaticamente o malware infiltrado.

Anúncio promocional do QuimaRAT em fóruns de hackers (fonte: levelblue.com):

Remoção automática instantânea do malware:

A remoção manual de ameaças pode ser um processo moroso e complicado que requer conhecimentos informáticos avançados. O Combo Cleaner é uma ferramenta profissional de remoção automática do malware que é recomendada para se livrar do malware. Descarregue-a clicando no botão abaixo:

Ao descarregar qualquer software listado no nosso website, concorda com a nossa Política de Privacidade e Termos de Uso. Para usar a versão completa do produto, precisa de comprar uma licença para Combo Cleaner. 7 dias limitados para teste grátis disponível. O Combo Cleaner pertence e é operado por RCS LT, a empresa-mãe de PCRisk.

Menu rápido:

• O que é o QuimaRAT?
• PASSO 1. Remoção manual do malware QuimaRAT.
• PASSO 2. Verifique se o seu computador está limpo.

Como remover malware manualmente?

A remoção manual de malware é uma tarefa complicada - normalmente é melhor permitir que programas antivírus ou anti-malware o façam automaticamente. Para remover este malware, recomendamos utilizar o Combo Cleaner Antivirus para Windows.

Se pretender remover o malware manualmente, o primeiro passo é identificar o nome do malware que está a tentar remover. Aqui está um exemplo de um programa suspeito a ser executado no computador de um utilizador:

Se verificou a lista de programas em execução no seu computador, por exemplo, utilizando o gestor de tarefas, e identificou um programa que parece suspeito, deve continuar com estes passos:

Descarregue um programa chamado Autoruns. Este programa mostra aplicações de arranque automático, localizações do Registo e do sistema de ficheiros:

Reinicie o seu computador em Modo de Segurança:

Utilizadores do Windows XP e Windows 7: Inicie o seu computador em Modo de Segurança. Clique em Iniciar, clique em Encerrar, clique em Reiniciar, clique em OK. Durante o processo de arranque do computador, prima a tecla F8 no teclado várias vezes até ver o menu de Opções Avançadas do Windows e, em seguida, selecione Modo de Segurança com Rede na lista.

Vídeo que mostra como iniciar o Windows 7 em "Modo de Segurança com Rede":

Utilizadores do Windows 8: Iniciar o Windows 8 em Modo de Segurança com Rede - Vá para o Ecrã Inicial do Windows 8, escreva Avançado, nos resultados da pesquisa selecione Definições. Clique em Opções de arranque avançadas, na janela "Definições Gerais do PC" aberta, selecione Arranque avançado.

Clique no botão "Reiniciar agora". O seu computador irá agora reiniciar no "menu de opções de Arranque Avançado". Clique no botão "Resolução de problemas" e, em seguida, clique no botão "Opções avançadas". No ecrã de opções avançadas, clique em "Definições de arranque".

Clique no botão "Reiniciar". O seu PC irá reiniciar no ecrã de Definições de Arranque. Prima F5 para arrancar em Modo de Segurança com Rede.

Vídeo que mostra como iniciar o Windows 8 em "Modo de Segurança com Rede":

Utilizadores do Windows 10: Clique no logótipo do Windows e selecione o ícone Ligar/Desligar. No menu aberto, clique em "Reiniciar" enquanto mantém premido o botão "Shift" no teclado. Na janela "escolher uma opção", clique em "Resolução de problemas" e, de seguida, selecione "Opções avançadas".

No menu de opções avançadas, selecione "Definições de Arranque" e clique no botão "Reiniciar". Na janela seguinte, deve clicar no botão "F5" no teclado. Isto irá reiniciar o seu sistema operativo em modo de segurança com rede.

Vídeo que mostra como iniciar o Windows 10 em "Modo de Segurança com Rede":

Extraia o arquivo descarregado e execute o ficheiro Autoruns.exe.

Na aplicação Autoruns, clique em "Options" na parte superior e desmarque as opções "Hide Empty Locations" e "Hide Windows Entries". Após este procedimento, clique no ícone "Refresh".

Verifique a lista fornecida pela aplicação Autoruns e localize o ficheiro de malware que pretende eliminar.

Deve anotar o seu caminho e nome completos. Note que alguns malware ocultam nomes de processos sob nomes de processos legítimos do Windows. Nesta fase, é muito importante evitar remover ficheiros de sistema. Depois de localizar o programa suspeito que pretende remover, clique com o botão direito do rato sobre o seu nome e escolha "Delete".

Após remover o malware através da aplicação Autoruns (isto garante que o malware não será executado automaticamente no próximo arranque do sistema), deve procurar o nome do malware no seu computador. Certifique-se de ativar os ficheiros e pastas ocultos antes de prosseguir. Se encontrar o nome do ficheiro do malware, certifique-se de removê-lo.

Reinicie o seu computador em modo normal. Seguir estes passos deverá remover qualquer malware do seu computador. Note que a remoção manual de ameaças requer competências informáticas avançadas. Se não possui estas competências, deixe a remoção de malware para programas antivírus e anti-malware.

Estes passos poderão não funcionar com infeções de malware avançadas. Como sempre, é melhor prevenir a infeção do que tentar remover o malware mais tarde. Para manter o seu computador seguro, instale as atualizações mais recentes do sistema operativo e utilize software antivírus. Para ter a certeza de que o seu computador está livre de infeções de malware, recomendamos analisá-lo com o Combo Cleaner Antivirus para Windows.

Perguntas Frequentes (FAQ)

O meu computador está infetado com o malware QuimaRAT, devo formatar o meu dispositivo de armazenamento para me livrar dele?

A formatação irá remover o QuimaRAT, mas também apagará todos os ficheiros na unidade. Uma ferramenta de segurança de boa reputação, como o Combo Cleaner, deve ser experimentada primeiro, pois pode eliminar o malware sem destruir os seus dados.

Quais são os maiores problemas que o malware QuimaRAT pode causar?

O QuimaRAT pode permitir que os atacantes assumam o controlo remoto total de um dispositivo infetado, roubem palavras-passe e tokens de sessão, sequestrem transações de criptomoeda através da substituição da área de transferência e implementem malware adicional. As consequências incluem roubo de identidade, fraude financeira e perda de acesso a contas.

Qual é o objetivo do malware QuimaRAT?

O QuimaRAT foi concebido para dar aos seus operadores controlo remoto sobre computadores infetados. Também rouba credenciais e tokens, redireciona as entradas de criptomoeda da área de transferência para a carteira do atacante e pode servir como plataforma para entregar mais malware ao sistema da vítima.

Como é que o malware QuimaRAT se infiltrou no meu computador?

O QuimaRAT é vendido através de fóruns da dark web como um serviço de subscrição, pelo que o método de entrega depende do operador que o adquire. Os vetores comuns incluem e-mails de phishing, páginas falsas de descarregamento de software e pacotes de software craqueado ou pirateado que contêm payloads ocultos.

O Combo Cleaner irá proteger-me de malware?

Sim. O Combo Cleaner pode detetar e remover a maioria do malware conhecido, incluindo ameaças como o QuimaRAT. Como os RATs podem incorporar-se em várias localizações do sistema, executar uma análise completa do sistema é a melhor forma de garantir que não restam componentes no seu dispositivo.