Como se livrar do PackClient RAT

Que tipo de malware é o PackClient RAT?

O PackClient é um Remote Access Trojan (RAT) comercializado através de canais do Telegram e implementado por um grupo cibercriminoso de língua chinesa rastreado como TA4922. Concede aos atacantes controlo remoto total sobre computadores comprometidos e suporta mais de 60 comandos remotos.

De acordo com uma investigação publicada pela Proofpoint, o TA4922 tem realizado campanhas direcionadas contra organizações na China e na Índia. O grupo utiliza e-mails convincentes que se fazem passar por autoridades fiscais para enganar as vítimas e levá-las a abrir anexos maliciosos que instalam silenciosamente o RAT.

Visão geral do PackClient RAT

O PackClient é construído em torno de uma arquitetura modular baseada em plugins. Liga-se ao servidor do atacante utilizando um protocolo personalizado baseado em TCP e pode receber instruções, entregar dados roubados e descarregar módulos de plugin adicionais a pedido.

O RAT pode capturar capturas de ecrã, registar teclas premidas, intercetar conteúdo da área de transferência, transmitir vídeo da webcam, gerir ficheiros no disco, executar comandos de shell e canalizar o tráfego do atacante através da ligação da vítima. Também possui capacidades dedicadas para monitorizar o Telegram Desktop em máquinas infetadas.

A cadeia de infeção do PackClient RAT

O PackClient chega à vítima através de um processo de infeção em quatro fases. A primeira fase é um descarregador inicial que verifica o nível de privilégios do sistema, coloca ficheiros de suporte e descarrega uma carga útil encriptada de um servidor de preparação remoto utilizando HTTP. Desencripta a carga útil e configura uma entrada de registo para que o malware seja executado no próximo arranque.

A segunda fase, chamada PackClientLauncher, atua como carregador principal. Lê as definições de comando e controlo (C2), descarrega o módulo RAT principal e carrega-o diretamente na memória. Também inicia um processo de guarda que vigia o RAT e o reinicia automaticamente se for fechado ou terminado.

A terceira fase é o PackClientCore - o módulo RAT propriamente dito, com suporte para mais de 60 comandos C2. A quarta fase é um sistema de plugins que carrega capacidades opcionais a pedido: acesso de ambiente de trabalho remoto, um gestor de ficheiros, transmissão de webcam, um módulo de proxy SOCKS5 e ferramentas para monitorizar o Telegram Desktop.

As capacidades do PackClient RAT

O controlo remoto é a função principal do RAT. Os operadores podem visualizar o ecrã da vítima em tempo real, tirar capturas de ecrã, controlar o teclado e o rato e executar comandos de shell. Podem navegar e gerir ficheiros no computador infetado, incluindo carregá-los, descarregá-los e eliminá-los.

Um keylogger integrado regista tudo o que o utilizador digita, mesmo quando a ligação ao servidor C2 está temporariamente indisponível. O módulo de proxy SOCKS5 permite aos atacantes encaminhar o seu próprio tráfego de rede através da ligação à Internet da vítima, ocultando a localização real do atacante.

O PackClient também pode implementar um plugin capaz de intercetar comunicações do Telegram Desktop, potencialmente dando ao atacante acesso a mensagens do que é normalmente considerado uma aplicação de mensagens encriptadas.

Persistência e evasão de defesa

Para sobreviver a reinícios do sistema, o PackClient adiciona uma entrada de arranque automático no Registo do Windows com o nome RuntimeBroker, tomando emprestado o nome de um processo legítimo do Windows para evitar chamar a atenção. Os dados de configuração - incluindo endereços C2, portas e identificadores de dispositivo - são armazenados num caminho de registo separado associado ao PackClientConsole.

O RAT disfarça o seu executável principal como svchost.exe, outro processo comum do sistema Windows, e executa-o a partir do diretório %TEMP%. O processo de guarda monitoriza continuamente o RAT principal e reinicia-o se for terminado, tornando a remoção manual significativamente mais difícil.

O PackClient também depende do sideloading de DLL para chegar ao sistema da vítima. Nesta técnica, uma aplicação legítima é enganada para carregar um ficheiro DLL malicioso, o que pode ajudar o malware a contornar o software de segurança que confia na aplicação anfitriã.

Conclusão

O PackClient RAT dá aos atacantes controlo remoto completo sobre os dispositivos infetados, permitindo-lhes espiar os utilizadores, roubar dados sensíveis, implementar malware adicional e realizar ataques adicionais. A sua arquitetura de várias fases, o processo de guarda e o disfarce como ficheiros de sistema tornam-no difícil de detetar e remover manualmente.

O malware é utilizado ativamente em campanhas direcionadas contra organizações empresariais e governamentais. Qualquer computador suspeito de infeção deve ser imediatamente examinado e limpo com uma ferramenta de segurança respeitável.

Mais exemplos de RATs são o E4del, o PINHOLE e o Golden Gh0st.

Como é que o PackClient RAT se infiltrou no meu computador?

Conforme documentado pela Proofpoint, o TA4922 distribui o PackClient através de e-mails de spear-phishing que se fazem passar por autoridades fiscais. As primeiras campanhas enviavam e-mails escritos em chinês a organizações na China continental, fazendo-se passar pelo Departamento Fiscal Provincial de Shandong e alegando que o destinatário estava sujeito a uma inspeção de conformidade do imposto de selo.

Campanhas posteriores tiveram como alvo organizações na Índia com e-mails escritos em hindi que se faziam passar pelo Departamento de Imposto sobre o Rendimento do Governo da Índia. Estes e-mails ameaçavam com penalizações e prisão caso os destinatários não respondessem no prazo de 72 horas, pressionando-os a abrir um arquivo ZIP ou imagem de disco anexado. A execução do ficheiro incluído desencadeia a cadeia de infeção de quatro fases.

Para além destas campanhas direcionadas, os trojans e os RATs propagam-se frequentemente através de software pirateado, sites de descarga falsos, publicidade maliciosa e unidades removíveis infetadas. Evitar ficheiros de fontes não oficiais e manter o software atualizado reduz consideravelmente o risco.

Como evitar a instalação de malware?

Nunca abra anexos nem clique em ligações de e-mails inesperados, mesmo quando parecem vir de uma agência governamental ou autoridade fiscal. Os cibercriminosos fazem-se passar rotineiramente por instituições oficiais para criar uma sensação de urgência. Descarregue software apenas de sites oficiais e evite conteúdo pirateado e cracks, que são veículos comuns para a entrega de malware.

Mantenha o seu sistema operativo e todas as aplicações instaladas atualizados, uma vez que os atacantes exploram frequentemente vulnerabilidades conhecidas em software desatualizado. Utilize um programa de segurança respeitável e execute análises regulares. Se acredita que o seu computador já está infetado, recomendamos a execução de uma análise com o Combo Cleaner Antivirus para Windows para eliminar automaticamente o malware infiltrado.

E-mails de phishing utilizados para distribuir o PackClient RAT (fonte: proofpoint.com):

Remoção automática instantânea do malware:

A remoção manual de ameaças pode ser um processo moroso e complicado que requer conhecimentos informáticos avançados. O Combo Cleaner é uma ferramenta profissional de remoção automática do malware que é recomendada para se livrar do malware. Descarregue-a clicando no botão abaixo:

Ao descarregar qualquer software listado no nosso website, concorda com a nossa Política de Privacidade e Termos de Uso. Para usar a versão completa do produto, precisa de comprar uma licença para Combo Cleaner. 7 dias limitados para teste grátis disponível. O Combo Cleaner pertence e é operado por RCS LT, a empresa-mãe de PCRisk.

Menu rápido:

• O que é o PackClient RAT?
• PASSO 1. Remoção manual do malware PackClient RAT.
• PASSO 2. Verifique se o seu computador está limpo.

Como remover malware manualmente?

A remoção manual de malware é uma tarefa complicada - normalmente é melhor permitir que os programas antivírus ou anti-malware o façam automaticamente. Para remover este malware, recomendamos a utilização do Combo Cleaner Antivirus para Windows.

Se deseja remover o malware manualmente, o primeiro passo é identificar o nome do malware que está a tentar remover. Aqui está um exemplo de um programa suspeito em execução no computador de um utilizador:

Se verificou a lista de programas em execução no seu computador, por exemplo, utilizando o gestor de tarefas, e identificou um programa que parece suspeito, deve continuar com estes passos:

Descarregue um programa chamado Autoruns. Este programa mostra aplicações de arranque automático, o Registo e localizações do sistema de ficheiros:

Reinicie o seu computador no Modo de Segurança:

Utilizadores do Windows XP e Windows 7: Inicie o seu computador no Modo de Segurança. Clique em Iniciar, clique em Encerrar, clique em Reiniciar, clique em OK. Durante o processo de arranque do computador, prima a tecla F8 no teclado várias vezes até ver o menu de Opções Avançadas do Windows e, em seguida, selecione Modo de Segurança com Rede da lista.

Vídeo que mostra como iniciar o Windows 7 no "Modo de Segurança com Rede":

Utilizadores do Windows 8: Iniciar o Windows 8 no Modo de Segurança com Rede - Vá ao Ecrã Inicial do Windows 8, escreva Avançadas, nos resultados da pesquisa selecione Definições. Clique em Opções de arranque avançadas, na janela "Definições Gerais do PC" aberta, selecione Arranque avançado.

Clique no botão "Reiniciar agora". O seu computador irá agora reiniciar no "menu de opções de Arranque Avançado". Clique no botão "Resolução de problemas" e, em seguida, clique no botão "Opções avançadas". No ecrã de opções avançadas, clique em "Definições de arranque".

Clique no botão "Reiniciar". O seu PC irá reiniciar no ecrã de Definições de Arranque. Prima F5 para arrancar no Modo de Segurança com Rede.

Vídeo que mostra como iniciar o Windows 8 no "Modo de Segurança com Rede":

Utilizadores do Windows 10: Clique no logótipo do Windows e selecione o ícone de Energia. No menu aberto, clique em "Reiniciar" enquanto mantém premido o botão "Shift" no teclado. Na janela "escolher uma opção", clique em "Resolução de problemas" e, em seguida, selecione "Opções avançadas".

No menu de opções avançadas, selecione "Definições de Arranque" e clique no botão "Reiniciar". Na janela seguinte, deve clicar no botão "F5" do teclado. Isto irá reiniciar o seu sistema operativo no modo de segurança com rede.

Vídeo que mostra como iniciar o Windows 10 no "Modo de Segurança com Rede":

Extraia o arquivo descarregado e execute o ficheiro Autoruns.exe.

Na aplicação Autoruns, clique em "Options" na parte superior e desmarque as opções "Hide Empty Locations" e "Hide Windows Entries". Após este procedimento, clique no ícone "Refresh".

Verifique a lista fornecida pela aplicação Autoruns e localize o ficheiro de malware que pretende eliminar.

Deve anotar o seu caminho completo e nome. Note que alguns malwares ocultam nomes de processos sob nomes de processos legítimos do Windows. Nesta fase, é muito importante evitar remover ficheiros do sistema. Depois de localizar o programa suspeito que deseja remover, clique com o botão direito do rato sobre o seu nome e escolha "Delete".

Depois de remover o malware através da aplicação Autoruns (isto garante que o malware não será executado automaticamente no próximo arranque do sistema), deve procurar o nome do malware no seu computador. Certifique-se de que ativa os ficheiros e pastas ocultos antes de prosseguir. Se encontrar o nome do ficheiro do malware, certifique-se de que o remove.

Reinicie o seu computador em modo normal. Seguir estes passos deve remover qualquer malware do seu computador. Note que a remoção manual de ameaças requer conhecimentos informáticos avançados. Se não possui estes conhecimentos, deixe a remoção de malware para os programas antivírus e anti-malware.

Estes passos podem não funcionar com infeções de malware avançadas. Como sempre, é melhor prevenir a infeção do que tentar remover o malware mais tarde. Para manter o seu computador seguro, instale as últimas atualizações do sistema operativo e utilize software antivírus. Para ter a certeza de que o seu computador está livre de infeções de malware, recomendamos que o analise com o Combo Cleaner Antivirus para Windows.

Perguntas Frequentes (FAQ)

O meu computador está infetado com o malware PackClient RAT, devo formatar o meu dispositivo de armazenamento para me livrar dele?

Formatar o dispositivo de armazenamento irá remover o PackClient RAT, mas também apagará todos os ficheiros da unidade. Deve tentar-se primeiro uma ferramenta de segurança respeitável, como o Combo Cleaner; a reformatação é um último recurso para casos em que a infeção não pode ser totalmente eliminada de qualquer outra forma.

Quais são os maiores problemas que o malware PackClient RAT pode causar?

O PackClient RAT pode dar aos atacantes controlo remoto total do dispositivo infetado, permitindo-lhes roubar dados pessoais e financeiros, monitorizar comunicações, implementar malware adicional e sequestrar contas. Isto pode levar a roubo de identidade, fraude financeira e perda de acesso a ficheiros e serviços importantes.

Qual é o propósito do malware PackClient RAT?

O propósito do PackClient RAT é dar aos atacantes controlo remoto sobre computadores infetados para que possam espiar os utilizadores, roubar dados sensíveis e executar comandos permanecendo ocultos. É comercializado através do Telegram como uma ferramenta pronta a implementar que os cibercriminosos podem comprar e operar.

Como é que o malware PackClient RAT se infiltrou no meu computador?

O PackClient RAT foi distribuído através de e-mails de phishing que se faziam passar por autoridades fiscais governamentais na China e na Índia. Os e-mails transportam arquivos ZIP maliciosos ou imagens de disco que, quando abertos e executados, desencadeiam um processo de infeção de várias fases que instala o RAT silenciosamente.

O Combo Cleaner irá proteger-me contra malware?

Sim. O Combo Cleaner pode detetar e remover a maioria das ameaças de malware conhecidas. Uma vez que o PackClient RAT utiliza várias fases, um processo de guarda e se disfarça como ficheiros de sistema legítimos, executar uma análise completa do sistema é importante para garantir que a infeção é totalmente eliminada.