Como remover o malware TRIPAUL3 do sistema operativo
TrojanTambém conhecido como: Trojan de acesso remoto TRIPAUL3
Faça uma verificação gratuita e verifique se o seu computador está infectado.
REMOVER AGORAPara usar a versão completa do produto, precisa de comprar uma licença para Combo Cleaner. 7 dias limitados para teste grátis disponível. O Combo Cleaner pertence e é operado por RCS LT, a empresa-mãe de PCRisk.
Que tipo de malware é o TRIPAUL3 RAT?
O TRIPAUL3 é um trojan de acesso remoto (RAT) modular para Windows de 64 bits, escrito em C++, que concede aos atacantes um amplo controlo remoto sobre as máquinas infetadas.
O malware armazena a sua configuração e seis plugins encriptados na sobreposição (overlay) do executável - uma região do ficheiro que se situa para além das secções de código padrão. Quando o TRIPAUL3 é executado, esses plugins são mapeados diretamente na memória sem nunca serem gravados no disco, o que dificulta a deteção por parte das ferramentas de segurança que dependem da análise de ficheiros.
Mais sobre o TRIPAUL3
O TRIPAUL3 está estruturado em torno de seis plugins que, em conjunto, cobrem toda a gama de funcionalidades de um RAT moderno. Como os plugins são carregados na memória através de mapeamento manual de PE, em vez de serem gravados no disco, é menos provável que as verificações de segurança padrão baseadas em ficheiros os detetem.
Cada plugin trata de uma capacidade específica - desde registar as teclas premidas e visualizar o ecrã da vítima até roubar palavras-passe guardadas e navegar pelos ficheiros da máquina infetada. Em conjunto, oferecem ao operador um conjunto completo de ferramentas para vigilância remota e roubo de dados.
Capacidades do TRIPAUL3
Um dos plugins funciona como keylogger, registando tudo o que a vítima escreve. Um segundo trata do acesso de ambiente de trabalho remoto através de VNC padrão e de Hidden VNC (HVNC), proporcionando ao operador uma visualização em tempo real do ecrã, bem como um ambiente de trabalho oculto separado que pode executar a sua própria sessão de navegador - invisível para a vítima.
Um módulo stealer dedicado visa credenciais guardadas em navegadores web e dados armazenados em carteiras de criptomoedas. Isto inclui credenciais de início de sessão, cookies de sessão e ficheiros de carteiras, todos recolhidos e enviados ao atacante.
Os três plugins restantes completam o conjunto de ferramentas. Um gestor de ficheiros permite ao operador navegar, carregar, transferir ou eliminar ficheiros no sistema da vítima. Um módulo de shell permite a execução de comandos arbitrários. Um módulo de informações do sistema traça o perfil da máquina e reporta ao atacante detalhes de hardware e software.
Persistência e evasão
O TRIPAUL3 inclui um arsenal de evasão em várias camadas. As rotinas anti-depuração encadeiam cinco verificações - incluindo a deteção de pontos de interrupção de hardware - para identificar se a amostra está a ser analisada. As verificações anti-VM procuram sinais de VirtualBox, VMware, Xen e Parallels. A lógica anti-sandbox procura ferramentas como Wireshark, x64dbg, IDA e Sandboxie.
Para contornar o software de segurança de endpoints, o TRIPAUL3 utiliza o unhooking da ntdll, que restaura o código da biblioteca de sistema do Windows ao seu estado original para contornar os hooks de monitorização colocados pelas ferramentas de segurança. Também modifica o AMSI e o ETW, dois mecanismos do Windows que os produtos de segurança utilizam para inspecionar processos ativos.
Para garantir a persistência, o TRIPAUL3 instala-se de três formas, todas disfarçadas sob o nome WindowsSecurity. Adiciona uma entrada na chave Run do Registo do Windows, cria uma tarefa agendada ONLOGON e coloca um atalho na pasta Arranque. Remover apenas um dos três mecanismos permite que os restantes restaurem a infeção.
| Nome | Trojan de acesso remoto TRIPAUL3 |
| Tipo De Ameaça | Trojan de Acesso Remoto (RAT), Ladrão de Informações, Keylogger |
| Nomes De Deteção | Avast (Win64:MalwareX-gen [Bd]), Combo Cleaner (Trojan.GenericKD.81898750), Emsisoft (Trojan.GenericKD.81898750 (B)), Kaspersky (Backdoor.Win64.Alien.ne), Microsoft (Trojan:Win32/Yomal!rfn), Full List Of Detections (VirusTotal) |
| Sintomas | Os trojans de acesso remoto são concebidos para se infiltrarem furtivamente no computador da vítima e permanecerem silenciosos, pelo que não são claramente visíveis sintomas específicos numa máquina infetada. |
| Métodos De Distribuição | Anexos de e-mail infetados, anúncios online maliciosos, engenharia social, "cracks" de software. |
| Danos | Palavras-passe e informações bancárias roubadas, roubo de identidade, computador da vítima adicionado a uma botnet, infeções adicionais, perdas monetárias, sequestro de contas. |
| Remoção do Malware (Windows) |
Para eliminar possíveis infecções por malware, verifique o seu computador com software antivírus legítimo. Os nossos investigadores de segurança recomendam a utilização do Combo Cleaner. Descarregar Combo CleanerO verificador gratuito verifica se o seu computador está infectado. Para usar a versão completa do produto, precisa de comprar uma licença para Combo Cleaner. 7 dias limitados para teste grátis disponível. O Combo Cleaner pertence e é operado por RCS LT, a empresa-mãe de PCRisk. |
Conclusão
O TRIPAUL3 dá aos atacantes um acesso profundo e abrangente aos sistemas infetados. Através dos seus seis plugins, um operador pode observar o ecrã da vítima, registar as teclas premidas, roubar palavras-passe e dados de carteiras de criptomoedas, gerir ficheiros e executar comandos - tudo sem que a vítima se aperceba.
As suas funcionalidades de evasão e a tripla persistência tornam-no resistente a tentativas de remoção. As vítimas correm o risco de roubo de credenciais, perdas financeiras, roubo de identidade e acesso não autorizado contínuo aos seus sistemas. O TRIPAUL3 deve ser removido assim que for detetado. Mais exemplos de RATs são AgtaBackup, ChainScript e DarkTortilla.
Como é que o TRIPAUL3 RAT se infiltrou no meu computador?
As campanhas de distribuição específicas utilizadas pelo TRIPAUL3 não foram confirmadas publicamente. As ameaças deste tipo chegam normalmente às vítimas através de e-mails de phishing que contêm anexos maliciosos ou links para páginas infetadas, sites falsos de transferência de software e cracks de software ou instaladores pirateados.
Os ficheiros maliciosos utilizados nestas campanhas chegam frequentemente sob a forma de arquivos, instaladores executáveis ou documentos. Assim que o ficheiro é aberto, o RAT é instalado silenciosamente, sem qualquer aviso visível. Os utilizadores que transferem software de fontes não oficiais ou abrem anexos de e-mails não solicitados correm o maior risco.
Como evitar a instalação de malware?
Transfira software apenas de sites oficiais dos programadores e de lojas verificadas. Evite cracks, geradores de chaves e conteúdo pirateado, uma vez que estes estão entre as fontes mais comuns de infeções por malware. Mantenha o sistema operativo e todas as aplicações atualizados, pois muitas ameaças exploram vulnerabilidades conhecidas em software desatualizado.
Trate os e-mails não solicitados com desconfiança, especialmente os que contêm anexos ou links. Utilize software antivírus ou anti-malware de confiança e execute regularmente verificações completas do sistema. Se acredita que o seu computador já está infetado, recomendamos que execute uma verificação com o Combo Cleaner Antivirus para Windows para eliminar automaticamente o malware infiltrado.
Como remover malware manualmente?
A maioria das infeções por trojans pode ser removida com uma análise completa do sistema com o Combo Cleaner. O procedimento manual completo abaixo destina-se aos casos em que a remoção automática falhou, em que pretende confirmar que uma análise detetou tudo ou em que a ameaça tem vários pontos de persistência.
Desligar da rede
Desligue o cabo Ethernet e desative o Wi-Fi. Se estiver a utilizar um portátil, a tecla do modo de avião é a forma mais rápida.
Muitos trojans exfiltram dados - palavras-passe guardadas no navegador, sessões bancárias, capturas de ecrã - e aceitam comandos remotos. Cortar a rede trava ambas as atividades de imediato. Mantenha a rede desligada até à fase 4.
Arrancar no Modo de Segurança com Rede
O Modo de Segurança carrega um conjunto mínimo de controladores e impede a execução automática da maioria do malware. A opção “com Rede” permite-lhe descarregar ferramentas - volte a ativar o Wi-Fi apenas depois de ter arrancado neste modo.
Abra . Clique em Reiniciar agora junto a Arranque avançado.
O computador reinicia no menu “Escolher uma opção”. Clique em . Após o segundo reinício, prima 5 ou F5.
Clique no logótipo do Windows, mantenha premida a tecla Shift, clique no ícone Ligar/Desligar e escolha Reiniciar. No ecrã Escolher uma opção, clique em . Prima F5.
Windows 8
Aceda ao ecrã Iniciar, escreva Avançadas e selecione Definições → Opções de arranque avançadas → Reiniciar agora → Resolução de problemas → Opções avançadas → Definições de Arranque → Reiniciar → F5.
Nota: o Windows 8 atingiu o fim do suporte em janeiro de 2023 - continuar a utilizá-lo expõe-no a um risco muito mais elevado de reinfeção.
Windows 7
Clique em Iniciar → Encerrar → Reiniciar → OK. Durante o arranque do sistema, prima repetidamente F8 até aparecer o menu Opções de Arranque Avançadas do Windows e, em seguida, escolha Modo de Segurança com Rede.
Nota: o Windows 7 atingiu o fim do suporte em janeiro de 2020 - continuar a utilizá-lo expõe-no a um risco muito mais elevado de reinfeção.
Inspecionar os processos em execução com o Process Explorer
Descarregue o Process Explorer da Microsoft Sysinternals. Execute-o como administrador. Clique em e em .
Ordene por “Verified Signer”. Qualquer elemento sem assinatura executado a partir de %AppData%, %LocalAppData%, %Temp% ou %ProgramData% é suspeito. Clique com o botão direito do rato → Properties para ver o caminho completo da imagem. Clique com o botão direito do rato → “Search Online” para pesquisar nomes de processos desconhecidos.
O Gestor de Tarefas oculta os caminhos completos dos ficheiros, não mostra as assinaturas digitais e agrupa os processos de formas que facilitam a passagem despercebida do malware. O Process Explorer é a mesma ferramenta que os engenheiros da Microsoft utilizam.
Mapear todos os pontos de persistência com o Autoruns
Descarregue o Autoruns. Clique com o botão direito do rato em Autoruns.exe e escolha Executar como administrador - sem privilégios elevados, o Autoruns não consegue inspecionar as ramificações de registo protegidas.
No menu, abra e e, em seguida, clique em Refresh.
Os trojans modernos não se limitam ao arranque. Percorra estes separadores e procure entradas sem assinatura ou desconhecidas:
- Logon - as clássicas chaves Run/RunOnce
- Scheduled Tasks - esconderijo frequente, especialmente tarefas com ações PowerShell, MSHTA ou rundll32
- Services - serviços sem assinatura em pastas que não pertencem à Microsoft
- WMI - as subscrições de eventos são um mecanismo de persistência furtivo (MITRE T1546.003)
- Image Hijacks - abuso do valor “Debugger” das Image File Execution Options
- AppInit - DLL carregadas em todos os processos com interface gráfica
- Browser plug-ins - extras sem assinatura em todos os navegadores instalados
Clique com o botão direito do rato em qualquer entrada suspeita → “Jump to Image” para ver o ficheiro real. Clique com o botão direito do rato → “Search Online” para abrir o VirusTotal com o hash do ficheiro. Não elimine nada ainda - limite-se a anotar os caminhos dos ficheiros e os nomes das entradas. Vamos removê-los depois das análises.
Verificar o ficheiro hosts e as definições de DNS
Os trojans redirecionam frequentemente domínios de bancos, de antivírus e de atualizações para servidores controlados pelo atacante, editando o ficheiro hosts ou as definições de DNS.
Ficheiro hosts: abra o Bloco de Notas como administrador e abra C:\Windows\System32\drivers\etc\hosts. As entradas legítimas estão comentadas com #. Qualquer mapeamento IP-domínio não comentado é suspeito - especialmente redirecionamentos para microsoft.com, windowsupdate ou o seu banco.
Definições de DNS: abra a Linha de Comandos como administrador e execute ipconfig /all. Confirme que os seus servidores DNS apontam para o seu fornecedor de Internet, o seu router ou um resolvedor público conhecido (Cloudflare 1.1.1.1, Google 8.8.8.8). Em seguida, abra e verifique se as definições de DNS e de DNS sobre HTTPS (DoH) não foram sequestradas.
Um PC limpo com o DNS sequestrado continua a ser um PC comprometido. Vai pensar que está em chase.com e estará no clone do atacante.
Nenhum antivírus deteta tudo sozinho. A ordem abaixo é intencional: primeiro a análise offline (deteta rootkits antes de o Windows carregar por completo), depois os verificadores a pedido no sistema em execução e, por fim, a limpeza manual de tudo o que lhes tiver escapado.
Executar o Microsoft Defender Offline
Reinicie no Windows normal. Abra . Selecione Microsoft Defender Antivírus (análise offline) e clique em Analisar agora. O computador reinicia num ambiente reduzido e faz a análise antes de o sistema operativo completo carregar.
Os rootkits e os bootkits escondem-se de qualquer verificador executado na mesma sessão do Windows já infetada. Uma análise offline antes do arranque vê o disco antes de o malware se conseguir esconder.
Certificado VB100. Inclui anti-trojan, análise do registo e da persistência e anti-spyware numa única passagem. Está disponível uma avaliação gratuita de 7 dias.
Descarregar Combo CleanerExecutar uma análise completa do sistema com o Combo Cleaner
Instale o Combo Cleaner e execute uma análise completa do sistema (não a análise rápida). Deixe-a terminar por completo, reveja as ameaças detetadas e aplique as ações recomendadas. O Combo Cleaner coloca em quarentena os trojans conhecidos e a respetiva persistência no registo.
Executar o Microsoft Safety Scanner como análise de segunda opinião
Descarregue o Microsoft Safety Scanner (MSERT.exe), a ferramenta a pedido gratuita da Microsoft. O binário expira a cada 10 dias, o que significa que cada transferência tem as assinaturas mais recentes. Execute uma análise completa depois do Combo Cleaner para detetar tudo o que um único motor possa não ter detetado.
Diferentes motores de análise detetam ameaças diferentes. Executar uma análise adicional da Microsoft depois do Combo Cleaner é, de longe, o passo de verificação mais subutilizado na remoção de malware.
Remover manualmente tudo o que ainda estiver listado no Autoruns
Volte a abrir o Autoruns. Tudo o que assinalou no passo 4 e que ainda está presente não foi detetado pelas análises automáticas. Para cada entrada suspeita restante: clique com o botão direito do rato → Delete no Autoruns (isto remove o registo de persistência) e, em seguida, navegue até ao caminho do ficheiro e elimine o ficheiro propriamente dito. Esvazie a Reciclagem.
Alguns ficheiros de malware reaparecem depois de eliminados porque outro elemento do sistema os volta a criar. Se eliminar um ficheiro e ele regressar em poucos minutos, existe um ponto de persistência restante que o Autoruns não mostrou - normalmente um serviço ou uma tarefa agendada executada como SYSTEM. Volte a executar as análises dos passos 6-8 ou avance para uma instalação limpa (consulte o final do guia).
Repor os navegadores e limpar as permissões de notificação
Os trojans e o adware sequestram frequentemente os navegadores - alteram o motor de busca predefinido, instalam extensões fraudulentas ou concedem a si próprios permissões de notificação para continuarem a mostrar janelas pop-up fraudulentas mesmo depois de o malware ter desaparecido.
- Chrome: visite
chrome://settings/resete clique em “Repor as predefinições originais das definições”. Depois, visitechrome://settings/content/notificationse remova todos os sites desconhecidos. - Edge: visite
edge://settings/reset. Depois, verifiqueedge://settings/content/notifications. - Firefox: abra
about:supporte clique em Restaurar o Firefox (no Firefox, a opção chama-se “Restaurar” e não “Repor”). Depois, verifique Definições → Privacidade e Segurança → Permissões → Notificações.
Reveja as extensões instaladas em cada navegador e remova tudo o que não reconheça, especialmente extensões que não tenham sido instaladas por si.
Reativar o Defender e a Proteção contra adulteração e atualizar tudo
Muitos trojans desativam o software de segurança. Abra e confirme que a Proteção em tempo real, a Proteção disponibilizada na cloud e a Proteção contra adulteração estão todas ativadas. A Proteção contra adulteração impede que o malware desative o Defender silenciosamente.
Em seguida, execute o Windows Update () e atualize os seus navegadores e aplicações. O vetor de infeção que permitiu a entrada do trojan envolve normalmente software desatualizado.
Alterar as palavras-passe a partir de um dispositivo limpo
Se o trojan era um info-stealer (o Lumma, o RedLine, o Vidar e outros semelhantes são extremamente comuns), parta do princípio de que todas as palavras-passe guardadas no navegador estão comprometidas. Altere-as a partir de outro dispositivo comprovadamente limpo - o seu telemóvel serve, desde que não esteja infetado.
Ordem recomendada:
- E-mail principal primeiro - é o centro de recuperação de todas as outras contas
- Contas bancárias e financeiras
- Palavra-passe mestra do gestor de palavras-passe (se utilizar um)
- Redes sociais, compras e restantes contas
Sempre que possível, ative a autenticação multifator resistente a phishing (chaves de acesso / chaves de segurança físicas FIDO2 / aplicações de autenticação) - a MFA baseada em SMS pode ser contornada por atacantes sofisticados.
Confirmar a limpeza e monitorizar durante 7 dias
Volte a ligar-se à rede e execute uma última análise completa com o Combo Cleaner. Abra o Gestor de Tarefas (Ctrl + Shift + Esc) e mude para o separador Aplicações de arranque - confirme que nada de suspeito reapareceu.
Nos próximos 7 dias, esteja atento ao regresso dos sintomas: utilização elevada e inesperada da CPU, regresso de processos desconhecidos, redirecionamentos do navegador ou janelas pop-up. Se algo regressar, falhou um ponto de persistência e o procedimento tem de ser repetido - ou pode existir um comprometimento mais profundo que exija uma instalação limpa.
Quando optar por uma instalação limpa do Windows
A remoção manual nem sempre é a resposta certa. Reinstalar o Windows de raiz é a única forma de ter 100% de certeza quando:
- O malware reaparece após cada tentativa de remoção
- Foi detetado um bootkit ou um rootkit UEFI (esta classe de ameaça situa-se abaixo do sistema operativo e sobrevive a uma reinstalação normal do Windows)
- Foi executado com privilégios de administrador um trojan de roubo de credenciais confirmado (Lumma, RedLine, Vidar) - o sistema tem provavelmente várias cargas maliciosas desconhecidas
- O PC é utilizado para serviços bancários online, e-mail profissional ou qualquer outra atividade em que não seja aceitável a mínima dúvida
Uma instalação limpa é um processo de 30-60 minutos: reinstalação do Windows 11 através de . Faça primeiro uma cópia de segurança dos documentos num armazenamento externo, analise essa cópia de segurança com o Combo Cleaner antes de a restaurar e reinstale as aplicações de raiz - nunca as restaure a partir de uma cópia de segurança do sistema infetado.
Importante: A remoção manual exige conhecimentos informáticos avançados. Se não tiver confiança para distinguir ficheiros de sistema de ficheiros maliciosos, execute uma análise automática com o Combo Cleaner e o Windows Defender e fique por aí - esse caminho deteta a grande maioria dos trojans dirigidos a utilizadores domésticos, sem o risco de danificar o Windows ao eliminar o ficheiro errado.
Perguntas Frequentes (FAQ)
O meu computador está infetado com o malware TRIPAUL3 RAT. Devo formatar o meu dispositivo de armazenamento para me livrar dele?
Formatar o dispositivo de armazenamento removerá o TRIPAUL3, mas também apagará todos os ficheiros da unidade. Deve experimentar primeiro uma solução de segurança de confiança, como o Combo Cleaner, pois esta pode remover a infeção sem destruir ficheiros pessoais.
Quais são os maiores problemas que o malware TRIPAUL3 RAT pode causar?
O TRIPAUL3 pode dar aos atacantes controlo remoto sobre a máquina infetada, permitindo-lhes roubar palavras-passe, dados de carteiras de criptomoedas e ficheiros pessoais, espiar a vítima através de uma sessão de ambiente de trabalho oculta e implementar malware adicional.
As consequências incluem roubo de identidade, apropriação de contas e perdas financeiras.
Qual é o objetivo do malware TRIPAUL3 RAT?
O objetivo do TRIPAUL3 é dar aos atacantes controlo remoto total sobre o sistema infetado. Os seus seis plugins tratam de keylogging, acesso ao ecrã e a um ambiente de trabalho oculto, roubo de credenciais, gestão de ficheiros e execução de comandos, cobrindo praticamente todas as ações ofensivas de que um atacante possa necessitar.
Como é que o malware TRIPAUL3 RAT se infiltrou no meu computador?
O TRIPAUL3 é distribuído através de canais comuns de entrega de malware. Estes incluem normalmente e-mails de phishing, anexos de ficheiros maliciosos, páginas falsas de transferência de software, cracks de software e conteúdo pirateado. Abrir um ficheiro ou instalador malicioso é geralmente suficiente para ficar infetado.
O Combo Cleaner irá proteger-me contra malware?
Sim. O Combo Cleaner é eficaz contra a maioria do malware conhecido. Como o TRIPAUL3 utiliza técnicas de evasão avançadas e instala vários mecanismos de persistência, recomenda-se a execução de uma verificação completa do sistema para garantir que a infeção é totalmente removida.
Partilhar:
Facebook
X.com
LinkedIn
Copiar link
Tomas Meskauskas
Pesquisador especialista em segurança, analista profissional de malware
Sou um apaixonado por segurança e tecnologia de computadores. Tenho experiência de mais de 10 anos a trabalhar em diversas empresas relacionadas à resolução de problemas técnicas e segurança na Internet. Tenho trabalhado como autor e editor para PCrisk desde 2010. Siga-me no Twitter e no LinkedIn para manter-se informado sobre as mais recentes ameaças à segurança on-line.
O portal de segurança PCrisk é fornecido pela empresa RCS LT.
Pesquisadores de segurança uniram forças para ajudar a educar os utilizadores de computadores sobre as mais recentes ameaças à segurança online. Mais informações sobre a empresa RCS LT.
Os nossos guias de remoção de malware são gratuitos. Contudo, se quiser continuar a ajudar-nos, pode-nos enviar uma ajuda, sob a forma de doação.
DoarO portal de segurança PCrisk é fornecido pela empresa RCS LT.
Pesquisadores de segurança uniram forças para ajudar a educar os utilizadores de computadores sobre as mais recentes ameaças à segurança online. Mais informações sobre a empresa RCS LT.
Os nossos guias de remoção de malware são gratuitos. Contudo, se quiser continuar a ajudar-nos, pode-nos enviar uma ajuda, sob a forma de doação.
Doar
▼ Mostrar comentários