Como remover o PollCat RAT do sistema operativo

Que tipo de malware é o PollCat?

O PollCat é um Remote Access Trojan (RAT) escrito em JavaScript ofuscado. Concede aos atacantes controlo remoto sobre computadores infetados, permitindo-lhes executar comandos, roubar ficheiros, gerir processos e executar código adicional. O PollCat é multiplataforma e funciona em Windows, Linux e macOS.

Os investigadores da Kaspersky descobriram o PollCat enquanto investigavam o Mirage Kitten, um grupo de ciberespionagem ligado ao Irão, também conhecido como UNC1549, Smoke Sandstorm e Nimbus Manticore. De acordo com um resumo da PolySwarm, o grupo distribui o PollCat a programadores de software através de falsas ofertas de emprego e desafios de programação com trojan.

Mais sobre o PollCat

O Mirage Kitten tem um longo histórico de ataques a organizações estrategicamente importantes, particularmente no Médio Oriente e nos setores aeroespacial, da aviação e da defesa. A campanha que envolve o PollCat centrou-se em fintech, aviação e aeroespacial, com alvos no Médio Oriente e em África, incluindo o Egito, a Etiópia e o Afeganistão.

O PollCat e o seu semelhante NodeRabbit são o primeiro malware do Mirage Kitten publicamente documentado baseado em JavaScript e Node.js. Uma vez que os programadores executam projetos JavaScript todos os dias, um RAT em JavaScript oculto num projeto de programação chama muito menos a atenção do que um programa desconhecido.

O PollCat regista-se junto do seu servidor de Command and Control (C2) assim que a aplicação infetada é iniciada e, depois, continua a verificar (polling) a existência de novos comandos. A sua infraestrutura funciona no Microsoft Azure e em domínios controlados pelos atacantes, e foi concebida para parecer tráfego organizacional legítimo.

Funcionalidades do PollCat

O PollCat declara 22 comandos, três dos quais não estão implementados. Os que funcionam permitem aos operadores navegar por pastas, ler, escrever e gerir ficheiros, executar comandos de shell e listar ou terminar processos em execução. O malware também pode transferir ficheiros entre o dispositivo da vítima e os atacantes, e compactar ficheiros em arquivos ZIP, o que facilita o roubo de documentos em massa.

No Windows, o PollCat pode executar ficheiros DLL e iniciar processos ocultos do utilizador. Além disso, um comando chamado EVAL_JS permite aos operadores executar qualquer código JavaScript que pretendam na máquina infetada, pelo que a funcionalidade do RAT pode ser alargada a qualquer momento sem entregar uma nova versão.

Verificação de software de segurança

O PollCat inclui uma função SYSTEM_CHECK que procura no computador pastas pertencentes a 24 fornecedores de segurança e tecnologia. A lista inclui Microsoft, Palo Alto Networks, Cisco, Fortinet, CrowdStrike, SentinelOne, Sophos, Symantec, McAfee, Kaspersky, ESET, Bitdefender e Malwarebytes.

Esta verificação indica aos operadores quais os produtos de segurança presentes no dispositivo. Com esta informação, podem decidir com que cuidado devem proceder, ou se a máquina vale a pena de todo.

Persistência

Para sobreviver a reinícios, o PollCat estabelece persistência que difere consoante o sistema operativo. No Windows, cria tarefas agendadas. No Linux, adiciona entradas cron, e no macOS baseia-se tanto em mecanismos cron como LaunchAgent. Em cada caso, o malware é iniciado novamente de forma automática, mesmo depois de a vítima fechar o projeto de programação.

Conclusão

O PollCat permite aos atacantes assumir o controlo de computadores infetados, executar comandos, roubar ficheiros e executar código arbitrário, tudo enquanto verificam quais os produtos de segurança que o poderão detetar. Uma vez que funciona no Windows, Linux e macOS e se reinicia através de tarefas agendadas, cron ou LaunchAgents, pode permanecer silenciosamente na máquina de um programador durante muito tempo. O PollCat deve ser removido imediatamente.

Mais exemplos de RATs são o SnakeBiteAgent, o PackClient e o E4del.

Como é que o PollCat se infiltrou no meu computador?

O PollCat é distribuído através de ofertas de emprego falsas. Os atacantes fazem-se passar por recrutadores no LinkedIn e em plataformas de procura de emprego, contactam engenheiros de software sobre funções de desenvolvimento e, depois, enviam-lhes uma avaliação técnica para concluir - um projeto de programação que foi manipulado.

Um desses iscos, o RankChallenge-react, era um exercício de correção de código React protegido por autenticação de palavra-passe de uso único (OTP) controlada pelos atacantes. O passo de início de sessão é apenas para aparências. O PollCat regista-se junto do seu servidor C2 e começa a fazer polling à procura de comandos assim que a aplicação é iniciada, antes mesmo de a vítima introduzir a OTP.

Para pressionar as vítimas, os recrutadores falsos utilizavam janelas de avaliação de uma hora, e a campanha também dizia aos candidatos para não utilizarem assistentes de IA, provavelmente para que nenhuma ferramenta de IA revisse o código e reparasse na parte maliciosa. A mesma campanha entregou o RAT NodeRabbit através de pacotes npm maliciosos ocultos noutros projetos de programação.

Tenha em mente que os RATs também são normalmente espalhados através de e-mails de phishing, anexos e ligações maliciosos, sites de download falsos, anúncios maliciosos, software pirateado e cracks de software.

Como evitar a instalação de malware?

Trate as ofertas de emprego não solicitadas com cautela, especialmente quando um "recrutador" envia um projeto para descarregar e executar dentro de um limite de tempo rigoroso. Reveja código desconhecido antes de o executar, e considere utilizar uma máquina virtual isolada para testes de programação de empresas desconhecidas em vez do seu computador de trabalho principal.

Em geral, não abra anexos ou ligações em e-mails e mensagens inesperados, descarregue software apenas de fontes oficiais, e evite programas pirateados e cracks. Mantenha o seu sistema operativo e aplicações atualizados, e utilize software de segurança reputado. Se acredita que o seu computador já está infetado, recomendamos executar uma análise com Combo Cleaner Antivirus para Windows para eliminar automaticamente o malware infiltrado.

Remoção automática instantânea do malware:

A remoção manual de ameaças pode ser um processo moroso e complicado que requer conhecimentos informáticos avançados. O Combo Cleaner é uma ferramenta profissional de remoção automática do malware que é recomendada para se livrar do malware. Descarregue-a clicando no botão abaixo:

Ao descarregar qualquer software listado no nosso website, concorda com a nossa Política de Privacidade e Termos de Uso. Para usar a versão completa do produto, precisa de comprar uma licença para Combo Cleaner. 7 dias limitados para teste grátis disponível. O Combo Cleaner pertence e é operado por RCS LT, a empresa-mãe de PCRisk.

Menu rápido:

• O que é o PollCat?
• PASSO 1. Remoção manual do malware PollCat.
• PASSO 2. Verifique se o seu computador está limpo.

Como remover malware manualmente?

A remoção manual de malware é uma tarefa complicada - normalmente é melhor permitir que os programas antivírus ou anti-malware o façam automaticamente. Para remover este malware, recomendamos utilizar Combo Cleaner Antivirus para Windows.

Se pretende remover malware manualmente, o primeiro passo é identificar o nome do malware que está a tentar remover. Aqui está um exemplo de um programa suspeito em execução no computador de um utilizador:

Se verificou a lista de programas em execução no seu computador, por exemplo, utilizando o gestor de tarefas, e identificou um programa que parece suspeito, deve continuar com estes passos:

Descarregue um programa chamado Autoruns. Este programa mostra aplicações de arranque automático, Registo e localizações do sistema de ficheiros:

Reinicie o computador em Modo de Segurança:

Utilizadores do Windows XP e Windows 7: Inicie o computador em Modo de Segurança. Clique em Iniciar, clique em Encerrar, clique em Reiniciar, clique em OK. Durante o processo de arranque do computador, prima a tecla F8 no teclado várias vezes até ver o menu de Opções Avançadas do Windows e, depois, selecione Modo de Segurança com Rede na lista.

Vídeo que mostra como iniciar o Windows 7 em "Modo de Segurança com Rede":

Utilizadores do Windows 8: Iniciar o Windows 8 em Modo de Segurança com Rede - Vá ao Ecrã Inicial do Windows 8, escreva Avançadas, nos resultados da pesquisa selecione Definições. Clique em Opções de arranque avançadas, na janela "Definições Gerais do PC" aberta, selecione Arranque avançado.

Clique no botão "Reiniciar agora". O seu computador irá agora reiniciar para o "menu de opções de Arranque Avançado". Clique no botão "Resolução de problemas" e, depois, clique no botão "Opções avançadas". No ecrã de opções avançadas, clique em "Definições de arranque".

Clique no botão "Reiniciar". O seu PC irá reiniciar para o ecrã de Definições de Arranque. Prima F5 para arrancar em Modo de Segurança com Rede.

Vídeo que mostra como iniciar o Windows 8 em "Modo de Segurança com Rede":

Utilizadores do Windows 10: Clique no logótipo do Windows e selecione o ícone de Energia. No menu aberto, clique em "Reiniciar" enquanto mantém premida a tecla "Shift" no teclado. Na janela "escolha uma opção", clique em "Resolução de problemas" e, em seguida, selecione "Opções avançadas".

No menu de opções avançadas, selecione "Definições de Arranque" e clique no botão "Reiniciar". Na janela seguinte, deve clicar no botão "F5" no teclado. Isto irá reiniciar o seu sistema operativo em modo de segurança com rede.

Vídeo que mostra como iniciar o Windows 10 em "Modo de Segurança com Rede":

Extraia o arquivo descarregado e execute o ficheiro Autoruns.exe.

Na aplicação Autoruns, clique em "Options" no topo e desmarque as opções "Hide Empty Locations" e "Hide Windows Entries". Após este procedimento, clique no ícone "Refresh".

Verifique a lista fornecida pela aplicação Autoruns e localize o ficheiro de malware que pretende eliminar.

Deve anotar o seu caminho e nome completos. Note que algum malware oculta os nomes dos processos sob nomes de processos legítimos do Windows. Nesta fase, é muito importante evitar remover ficheiros do sistema. Depois de localizar o programa suspeito que pretende remover, clique com o botão direito do rato sobre o seu nome e escolha "Delete".

Depois de remover o malware através da aplicação Autoruns (isto garante que o malware não será executado automaticamente no próximo arranque do sistema), deve procurar o nome do malware no seu computador. Certifique-se de que ativa os ficheiros e pastas ocultos antes de prosseguir. Se encontrar o nome do ficheiro do malware, certifique-se de que o remove.

Reinicie o computador em modo normal. Seguir estes passos deverá remover qualquer malware do seu computador. Note que a remoção manual de ameaças requer competências informáticas avançadas. Se não possui estas competências, deixe a remoção de malware para os programas antivírus e anti-malware.

Estes passos poderão não funcionar com infeções de malware avançadas. Como sempre, é melhor prevenir a infeção do que tentar remover malware mais tarde. Para manter o seu computador seguro, instale as atualizações mais recentes do sistema operativo e utilize software antivírus. Para ter a certeza de que o seu computador está livre de infeções de malware, recomendamos analisá-lo com Combo Cleaner Antivirus para Windows.

Perguntas Frequentes (FAQ)

O meu computador está infetado com o malware PollCat, devo formatar o meu dispositivo de armazenamento para me livrar dele?

Reformatar iria livrar-se do PollCat, mas também apaga todos os dados no disco. É melhor começar com uma análise utilizando uma ferramenta de segurança de confiança como o Combo Cleaner e deixar a formatação como último recurso.

Quais são os maiores problemas que o malware PollCat pode causar?

O PollCat permite aos atacantes executar comandos, roubar ficheiros e executar qualquer código que escolham no computador infetado. Isto pode resultar em documentos de trabalho e código-fonte roubados, contas comprometidas, infeções de malware adicionais e uma violação mais ampla da rede do local de trabalho da vítima.

Qual é o propósito do malware PollCat?

O propósito do PollCat é dar ao grupo Mirage Kitten controlo remoto sobre os computadores dos programadores para espionagem, permitindo-lhes recolher ficheiros, executar comandos e implementar payloads adicionais sem que a vítima repare.

Como é que o malware PollCat se infiltrou no meu computador?

O PollCat foi espalhado através de ofertas de emprego falsas no LinkedIn e em plataformas de procura de emprego. As vítimas recebiam desafios de programação React trojanizados, como o RankChallenge-react, que lançavam o RAT assim que o projeto era iniciado, mesmo antes de a vítima iniciar sessão com a palavra-passe de uso único fornecida.

O Combo Cleaner irá proteger-me de malware?

O Combo Cleaner pode detetar e eliminar a maioria das infeções de malware conhecidas. Dito isto, ameaças sofisticadas como o PollCat podem ocultar-se profundamente no sistema, pelo que é importante executar uma análise completa do sistema.