O vendedor do StealC reapareceu com o Stadia, um trojan de acesso remoto (RAT, na sigla em inglês) modular que transforma o infostealer desarticulado em uma plataforma para controle persistente de dispositivos (endpoints).
Anunciado em 16 de outubro, o malware combina roubo de credenciais com acesso oculto à área de trabalho, execução de comandos, gerenciamento de arquivos e entrega de cargas maliciosas (payloads), segundo pesquisa fornecida pela Varonis Threat Labs.
O retorno acontece após a ação da Operação Endgame contra StealC, Amadey e SocGholish, realizada em junho.
A Europol informou que autoridades e parceiros privados atuaram sobre 326 servidores e 142 domínios ao longo da operação, recuperando aproximadamente 27 milhões de credenciais roubadas. Esses números se referem à campanha coordenada como um todo, e não apenas ao StealC.
A análise identificou código do StealC dentro do novo agente. Ao mesmo tempo, o registro de alterações do painel documentou explicitamente uma atualização para o módulo de roubo de dados StealC 3.5.0.
O Stadia oferece seis módulos: computação de rede virtual oculta (HVNC, na sigla em inglês), um módulo de roubo de dados (stealer), Remote CMD (prompt de comando remoto), um carregador (loader), Explorador de Arquivos e Gerenciador de Processos.
O acesso à área de trabalho funciona tanto na sessão atual quanto em uma área de trabalho oculta isolada, permitindo que operadores interajam com sistemas comprometidos fora do espaço de trabalho visível da vítima.
O loader anuncia suporte a cargas maliciosas nos formatos executável (EXE), PowerShell, CMD e pacote de instalação do Windows (MSI), com opções de execução em disco ou em memória.
O stealer tem como alvo mais de 50 navegadores, mais de 120 extensões de criptomoedas e mais de 50 carteiras de desktop, além de aplicativos de mensagens, sessões de jogos, clientes de e-mail e softwares de rede privada virtual (VPN).
A captura de tela do HVNC mostra uma sessão de acesso remoto em tempo real em uma máquina Windows 11 infectada, com uma caixa de diálogo de erro de tempo de execução em espanhol exibida na área de trabalho da vítima.
Malware StealC ressurge
As assinaturas custam US$ 300 por mês no plano Basic, US$ 550 no Team e US$ 900 no Pro. Somente o Pro inclui os seis módulos. Ex-clientes do StealC recebem um mês gratuito do Pro, o que vincula diretamente o relançamento à base de clientes existente do vendedor.
A amostra analisada, stadia_x32.exe, é um executável do Windows sem assinatura digital, com 560.128 bytes, compilado com o Microsoft Visual C++.
A aba de criação (builder) compila agentes a partir da versão publicada mais recente. Os operadores criam um build, baixam o arquivo .exe e o implantam.
O painel lateral organiza os dados roubados por tipo: senhas, cartões de crédito, mensageiros, softwares, tokens de sessão do Chrome, Discord, Steam, Roblox e Azure, e uma seção de criptomoedas para frases de recuperação (seed phrases).
O malware se identifica como STADIA_BETA, informa a versão 1.1.2 e importa apenas a KERNEL32.dll, resolvendo dinamicamente a maior parte das interfaces de programação de aplicações (APIs) operacionais.
Embora esteja desempacotado, o binário oculta strings relevantes (sequências de texto) usando criptografia RC4 (algoritmo de cifragem) seguida de codificação Base64 (formato de codificação de dados).
Os pesquisadores recuperaram 542 strings, que expõem dados de configuração, vocabulário de comandos, alvos de navegadores e modelos de persistência.
Antes da instalação, o Stadia verifica o idioma do sistema e encerra a execução em locais russo, ucraniano, bielorrusso, cazaque e uzbeque. Agentes instalados usam um mutex (mecanismo de exclusão mútua) baseado no nome de usuário e no nome do computador para impedir execuções duplicadas.
Sua configuração contém três servidores de comando: 93[.]152[.]213[.]215, 91[.]92[.]43[.]45 e 193[.]148[.]56[.]97.
As conexões usam HTTP simples (protocolo de transferência de hipertexto), mas os corpos das mensagens contêm JSON (formato de intercâmbio de dados) codificado em Base64 e criptografado com RC4, apesar de declarar o tipo de conteúdo application/json. O agente testa os servidores em sequência e tenta novamente após 300 segundos caso nenhum responda.
O Stadia se instala dentro de um diretório aleatório de 12 caracteres em C:\ProgramData, adotando nomes de arquivo como MicrosoftEdgeUpdate.exe, RuntimeBroker.exe ou GoogleUpdate.exe.
Uma tarefa agendada oculta inicia o malware no logon e a cada 15 minutos, com duração configurada de 3.650 dias.
Quando executado com privilégios elevados, o agente também invoca o PowerShell para adicionar seu diretório de instalação às exclusões do Microsoft Defender.
Essa combinação torna a localização do executável, a configuração da tarefa e as alterações nas exclusões um contexto investigativo mais útil do que apenas os nomes dos arquivos.
Defensores que investigam suspeitas de infecção devem correlacionar esses artefatos com conexões à infraestrutura informada e inspecionar binários de atualização inesperados em ProgramData.
O hash SHA-256 (algoritmo de hash de 256 bits) da amostra é ea928494fd30d88b98141d39a502a4324889fb732e74b44bfee12c72137dd73e.
O ressurgimento ilustra a diferença entre a desarticulação da infraestrutura e a remoção do desenvolvedor: o Stadia preserva a capacidade de roubo do StealC ao empacotá-la em um kit de intrusão remota mais amplo, baseado em assinatura, voltado a operadores criminosos que buscam acesso contínuo a endpoints Windows comprometidos.
Indicadores de comprometimento (IoCs)
Nota: endereços IP e domínios foram intencionalmente neutralizados (defanged), com [.] no lugar do ponto, para evitar resolução ou links acidentais. Reverta essa neutralização apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu sistema de gerenciamento de eventos de segurança (SIEM).
