Malware SolanaCry Rouba Carteiras de Criptomoedas de Agentes de IA de Navegação na Web

Resumo

Operadores de malware estão direcionando agentes de codificação de IA através de repositórios maliciosos no GitHub disfarçados como kits iniciais legítimos. Quando um agente de IA descobre e seleciona esses repositórios, ele pode executar comandos PowerShell maliciosos embutidos no README, resultando na implantação de um RAT NetSupport Manager. Isso dá aos atacantes acesso remoto ao sistema da vítima e possibilita o roubo de carteiras de criptomoedas.

Investigação

Pesquisadores descobriram um repositório de kit inicial malicioso Solana no GitHub contendo um one-liner PowerShell que baixa e executa uma carga útil sem arquivo. A investigação recuperou um dropper PowerShell de 21MB que extrai 14 componentes do NetSupport Manager em um diretório de estágio oculto. A análise do arquivo de configuração também revelou um segredo RADIUS específico associado ao cluster de ameaça EVALUSION.

Mitigação

Os desenvolvedores devem tratar todo o conteúdo processado por agentes de IA, incluindo resultados de pesquisa e arquivos README, como entrada não confiável. As organizações devem implementar controles de segurança que monitorem e restrinjam o contexto e os comandos executados por agentes. Agentes não devem ter permissão para baixar e executar código remoto sem revisão humana explícita.

Resposta

Se a compromissão é suspeita, desconecte imediatamente a máquina afetada da rede. Remova o diretório de estágio oculto de %LOCALAPPDATA% e exclua a chave de registro de persistência associada. Mais importante, altere todas as credenciais, tokens e chaves de carteiras de criptomoedas que eram acessíveis a partir do sistema comprometido.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário obteve acesso inicial com sucesso à estação de trabalho do usuário. Para manter o acesso através de reinicializações, o atacante pretende usar o método de persistência SolanaCry. Ele tentará escrever um valor de registro em HKCUSoftwareMicrosoftWindowsCurrentVersionRun com o nome SecureModule apontando para um executável malicioso. Esta é uma técnica “Living off the Registry”, tentando esconder o mecanismo de persistência dentro de uma hive de registro padrão do Windows para evitar a detecção por scanners básicos de sistema de arquivos.

• Script de Teste de Regressão:

  # Script de simulação para imitar persistência SolanaCry
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  $value = "C:UsersPublicclient32.exe"
  
  Write-Host "[+] Tentando simular persistência SolanaCry..."
  try {
      New-ItemProperty -Path $registryPath -Name $name -Value $value -PropertyType String -Force -ErrorAction Stop
      Write-Host "[!] Sucesso: Chave de registro '$name' criada. A detecção deve ser acionada." -ForegroundColor Green
  } catch {
      Write-Host "[-] Falha ao criar chave de registro: $($_.Exception.Message)" -ForegroundColor Red
  }

• Comandos de Limpeza:

  # Script de limpeza para remover a persistência simulada
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  
  if (Test-Path "$registryPath$name") {
      Remove-ItemProperty -Path $registryPath -Name $name -Force
      Write-Host "[+] Limpeza completa: Chave de registro simulada removida." -ForegroundColor Cyan
  } else {
      Write-Host "[-] Limpeza pulada: Chave não encontrada." -ForegroundColor Yellow
  }