Um ficheiro comprimido que se faz passar por um documento financeiro e que circula pelo WhatsApp está a ser usado para instalar um trojan de acesso remoto (RAT) em computadores Windows. O malware acaba por correr com privilégios SYSTEM, o nível mais elevado do sistema operativo. A investigação foi publicada pela empresa de segurança Morphisec, que descreve como, depois de descompactado, o carregador analisou o sistema, tentou elevar privilégios e injetou um downloader no processo do Agendador de Tarefas, que corre como LocalSystem. A carga final, chamada VulcanRAT207.A, permite aos atacantes roubar dados, registar o que é teclado e controlar o computador à distância.
Resposta rápida: A Morphisec analisou uma cadeia de infeção que começa com um ZIP enviado pelo WhatsApp, que contém um executável chamado Statement.exe, e termina com o VulcanRAT207.A a correr com privilégios SYSTEM no Windows. Não há nenhuma vulnerabilidade (CVE) envolvida: o ataque só funciona se a vítima abrir o ficheiro. Não abra executáveis recebidos por aplicações de mensagens, mesmo que pareçam extratos ou faturas. As organizações devem bloquear este tipo de conteúdo e procurar a tarefa agendada USOPrivate Kit e os ficheiros Vulkan colocados em C:\Program Files\Common Files\.
Como começa o ataque
O ponto de entrada é simples. A Morphisec explica que o Statement.exe chega como anexo do WhatsApp, dentro de um arquivo ZIP. A empresa usa uma formulação cautelosa sobre o canal de distribuição e diz que o isco terá sido «alegadamente distribuído via WhatsApp». O nome do ficheiro (algo como «extrato») foi escolhido para levar a vítima a pensar que se trata de um documento bancário ou contabilístico.
O primeiro executável não faz nada de malicioso que se veja. Segundo os investigadores, o ficheiro exterior é um invólucro comprimido com NRV2E que só serve para ocultar: ao ser executado, descomprime, repara e passa o controlo ao verdadeiro carregador, tudo em memória e sem escrever nada no disco. Por isso, uma análise estática ao ficheiro original revela pouco ou nada.
Da conta de utilizador ao controlo total
Antes de avançar, o carregador verifica se está num computador real ou num ambiente de análise. Confirma valores de ecrã, disco, CPU e memória, entradas dos registos de eventos (IDs 4624 e 1102), marcadores no Registo e produtos de segurança da Baidu. Se alguma destas verificações falhar, a cadeia é abortada.
O passo decisivo é a injeção no Agendador de Tarefas do Windows. A Morphisec indica que o carregador usa a técnica PoolParty Variante 7 para colocar um downloader no processo do Agendador de Tarefas sem recorrer a CreateRemoteThread. Como esse serviço corre como LocalSystem, o código injetado herda os mesmos privilégios. A partir daqui, as fases seguintes já não precisam de explorar mais nenhuma falha para ter controlo total da máquina.
Depois, a cadeia descarrega um pacote de implementação. Segundo a Morphisec, a DLL de implementação instala o driver GoFly para terminar processos da Baidu, inicia o RAT a partir da memória e grava separadamente o trio de ficheiros Vulkan para side-loading, com uma tarefa agendada SYSTEM que garante o regresso mais tarde.
Um driver legítimo para desligar a segurança
Uma das técnicas é conhecida como BYOVD (bring your own vulnerable driver), em que o atacante traz consigo um driver vulnerável. O malware instala um driver chinês de filtragem de rede com assinatura Authenticode legítima e envia-lhe os PID dos processos de segurança da Baidu através de um IOCTL (0x12227A), que chama ZwTerminateProcess a partir do ring 0. Os investigadores acrescentam que o hash do driver já consta do projeto LOLDrivers, que cataloga drivers legítimos abusados por atacantes.
Para sobreviver a reinícios, o malware abusa de um utilitário assinado. A cada arranque, a tarefa lança o utilitário VulkanInfo, assinado pela Intel, e esse utilitário carrega a vulkan-1.dll maliciosa através de uma chamada LoadLibraryA sem caminho qualificado. A DLL lê o vulkan-1.bin e reconstrói o mesmo RAT. Como o processo visível pertence a um programa legítimo e assinado, a persistência é mais difícil de detetar.
O que o VulcanRAT207.A consegue fazer
Segundo a análise da Morphisec, os comandos confirmados do RAT permitem aos operadores traçar o perfil da vítima e abrir shells interativas, criar contas de administrador locais e alterar palavras-passe, descarregar e lançar ficheiros, injetar código no explorer.exe, limpar registos de eventos, capturar teclas, área de transferência e ecrã, controlar remotamente o ambiente de trabalho e bloquear tráfego de rede com regras da Windows Filtering Platform. Além disso, o operador pode carregar um driver de kernel arbitrário como serviço.
Os produtos de segurança visados (Baidu e, segundo a análise, componentes associados ao 360 e ao QQ PC Manager) são populares sobretudo no mercado chinês. Isto pode indicar onde estão as vítimas preferenciais, mas a Morphisec não divulgou números de vítimas nem a sua distribuição geográfica.
Cronologia da cadeia de infeção
| Fase | O que acontece |
|---|---|
| 1. Entrega | ZIP enviado pelo WhatsApp com Statement.exe (isco de documento financeiro) |
| 2. Desempacotamento | Invólucro NRV2E descomprime o carregador apenas em memória |
| 3. Triagem | Verificações antianálise e deteção de produtos Baidu |
| 4. Elevação | Injeção PoolParty no Agendador de Tarefas (LocalSystem) |
| 5. Descarga | Pedido HTTP ao C2 e carregamento reflexivo da DLL de implementação |
| 6. Evasão | Driver GoFly64.sys termina processos de segurança a partir do kernel |
| 7. Persistência | Tarefa SYSTEM e side-loading de vulkan-1.dll |
| 8. Controlo | VulcanRAT207.A comunica com o C2 por WebSocket |
Indicadores de comprometimento
A Morphisec indica que o RAT comunica com 61[.]18[.]208[.]27:8888. A tabela reúne os principais indicadores divulgados. Os hashes SHA-256 completos estão no relatório original da empresa.
| Tipo | Valor |
|---|---|
| Servidor C2 | 61[.]18[.]208[.]27:8888 |
| Ficheiro inicial | Statement-846143734.exe (dentro de ZIP) |
| Tarefa agendada | USOPrivate Kit / USOPrivate |
| Ficheiros de persistência | C:\Program Files\Common Files\vulkaninfo-64.exe, vulkan-1.dll, vulkan-1.bin |
| Driver | GoFly64.sys (IOCTL 0x12227A) |
| Mutex | analplug (com sufixo de configuração) |
Quem pode estar por trás
Não há uma atribuição formal. Segundo a análise, a Morphisec nota que a cadeia se assemelha a atividade documentada pela Proofpoint para o grupo TA4922. A Proofpoint descreve este grupo como provavelmente sediado na Ásia Oriental e, com probabilidade, de língua chinesa, e avalia que o seu objetivo é obter acesso remoto, provavelmente para monetização, como fraude, roubo de dados, venda de acessos ou persistência.
Este enquadramento interessa à Europa. A Proofpoint registou que o TA4922, inicialmente focado no Japão e noutros países asiáticos, passou a ter atividade no Reino Unido, na Alemanha, em Itália e na África do Sul. A empresa refere também que o grupo tenta levar as conversas do email para plataformas de mensagens como LINE, WhatsApp e Microsoft Teams.
O WhatsApp como canal de malware não é novidade
Este caso vem juntar-se a outros recentes. Em junho, a Kaspersky divulgou uma campanha em que um ator usa contas de WhatsApp previamente comprometidas para distribuir anexos maliciosos, enviados a partir dos contactos existentes dessas contas, o que aumenta a probabilidade de os destinatários abrirem os ficheiros. A equipa indiana de resposta a incidentes CERT-In alertou para a mesma vaga e referiu que os nomes dos ficheiros estavam localizados em várias línguas, incluindo inglês, português, francês, alemão e malaio.
Como se proteger
- Cidadãos: um extrato ou uma fatura verdadeiros nunca vêm num ficheiro
.exe. Desconfie de ficheiros ZIP recebidos por mensagem, mesmo que venham de contactos conhecidos, e confirme por outro canal. - Empresas: bloqueie executáveis e arquivos comprimidos vindos do WhatsApp Desktop e Web nos postos de trabalho, sobretudo nos departamentos financeiros.
- Ative a lista de bloqueio de drivers vulneráveis da Microsoft e políticas de controlo de aplicações (WDAC ou AppLocker).
- Procure tarefas agendadas com nomes que imitam atualizações do Windows, como
USOPrivate Kit, e execuções devulkaninfo-64.exefora do seu local habitual. - Bloqueie o IP do C2 na firewall e verifique se houve ligações anteriores ao porto 8888.
Porque é que isto importa em Portugal
Em Portugal, o WhatsApp é muito usado no trabalho, e não só entre amigos. Fornecedores, contabilistas e clientes de PME trocam faturas e comprovativos por esta via, que fica fora dos filtros de email da empresa. Uma campanha que se aproveita deste hábito tanto pode apanhar um particular como uma pequena empresa.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), um comprometimento com acesso de nível SYSTEM pode constituir um incidente com impacto relevante, que deve ser notificado ao CNCS/CERT.PT. Se houver acesso a dados pessoais, como os capturados por keylogger ou pela exfiltração de ficheiros, aplicam-se também as obrigações de notificação à CNPD previstas no RGPD. Outra lição é que o controlo de aplicações e a sensibilização dos colaboradores têm de abranger as aplicações de mensagens, e não apenas o correio eletrónico.
Perguntas frequentes
O que é o VulcanRAT207.A?
É um trojan de acesso remoto para Windows, analisado pela Morphisec, que comunica por WebSocket com o servidor dos atacantes. Permite roubar dados, registar teclas, capturar o ecrã e controlar o computador à distância.
O ataque explora alguma vulnerabilidade do WhatsApp?
Não. Não há nenhuma CVE associada. O WhatsApp serve apenas para entregar o ficheiro, e a infeção só acontece se a vítima abrir o executável que vem dentro do ZIP.
Como sei se o meu computador foi afetado?
Procure uma tarefa agendada chamada USOPrivate Kit ou USOPrivate e os ficheiros vulkaninfo-64.exe, vulkan-1.dll e vulkan-1.bin na pasta C:\Program Files\Common Files. Se os encontrar, desligue o equipamento da rede e peça apoio técnico.
Quem está por trás desta campanha?
Não há atribuição confirmada. A Morphisec nota semelhanças com atividade que a Proofpoint associa ao TA4922, um grupo de cibercrime provavelmente de língua chinesa e com motivação financeira.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Morphisec, pela Proofpoint, pela Kaspersky e pela CERT-In.