Trojan DarkCore sequestra sessões do Gmail e do WhatsApp a navegar a partir do IP da vítima

Um trojan de acesso remoto (RAT) chamado DarkCore está à venda num fórum clandestino com um argumento de venda pouco comum: um navegador integrado que carrega cookies de sessão roubados e encaminha o seu tráfego através do computador infetado. Para o Gmail, o WhatsApp Web ou qualquer outro serviço, a atividade do atacante parece vir do dispositivo e da rede habituais da vítima.

O que aconteceu

O anúncio, publicado em meados de agosto de 2026 e atualizado desde então, apresenta o DarkCore como um RAT para Windows "de gama alta", destinado a operadores que privilegiam a discrição. A lista de funcionalidades parece um kit completo: roubo de credenciais e cookies, transferência de ficheiros, proxy inverso, clipper, controlo remoto por ambiente de trabalho oculto (HVNC) e transporte opcional via Tor. À data do anúncio, a versão em vigor era a 2.0.1.

A funcionalidade central é o navegador dedicado. O material promocional mostra-o com sessões do Gmail, do WhatsApp, do YouTube e do MediaFire, com cookies recolhidos de uma vítima injetados diretamente na sessão de navegação do atacante. Segundo o registo de alterações do vendedor, essa sessão pode ser encaminhada através do endereço IP do equipamento infetado, e o túnel fecha-se quando a última janela do navegador associada é encerrada.

Estas afirmações sobre o navegador devem ser encaradas com cautela. A análise de uma amostra real confirmou a forma como o cliente é configurado e como carrega os módulos, mas as funcionalidades do navegador continuam a ser descrições do vendedor e não resultados validados de forma independente. Uma captura promocional com 118 linhas de credenciais nada diz de fiável sobre o número real de vítimas.

Como chega ao computador

A amostra chegou acompanhada de um ficheiro de atalho do Windows disfarçado com um ícone de PDF e com um nome que sugere um visualizador de relatórios. Ao abri-lo, é lançada uma janela de comandos minimizada que faz duas coisas: descarrega um relatório autêntico do Banco Mundial para mostrar ao utilizador e, separadamente, obtém um executável a partir de um servidor remoto. Os comandos estão ofuscados através de corte de cadeias de texto, remoção de caracteres e expansão de CALL, e tentam apagar o fluxo Zone.Identifier de ambas as transferências para que o Windows apresente menos avisos.

Dois pormenores sobressaem. O executável é descarregado mesmo que o PDF de engodo falhe, e o comando de arranque nunca verifica se a transferência foi bem-sucedida. Ainda não se sabe como o atalho chega inicialmente às vítimas e, como não foi possível obter o payload remoto para calcular o respetivo hash, também não está confirmado que o ficheiro servido ao vivo seja o mesmo binário da amostra analisada.

O que a amostra revelou

O binário analisado é um executável Windows de 64 bits, não assinado. A configuração está protegida por um esquema simples: uma chave de 32 bytes é rodada e aplicada com XOR sobre 758 bytes codificados. Depois de descodificadas, as definições mostravam comunicação de comando e controlo direta por TCP, os transportes Tor e WebSocket desativados e os indicadores de instalação e de persistência no arranque por definir. Os módulos adicionais podem ser carregados diretamente em memória ou escritos em disco como ficheiros DLL temporários.

Porque é importante

Um cookie de sessão é a prova de um início de sessão que já foi bem-sucedido. Reproduzi-lo salta a palavra-passe e qualquer verificação em dois passos aplicada na entrada. Junte-se tráfego a sair do próprio endereço IP da vítima e desaparecem os dois sinais em que a maioria das organizações confia para detetar o roubo de contas: uma localização desconhecida e um dispositivo invulgar. Um endereço IP familiar não prova que o utilizador legítimo esteja ao teclado.

O que fazer

• Correlacione a telemetria do endpoint com a das contas. Procure processos de linha de comandos a iniciar transferências, cadeias de processos suspeitas sob ficheiros de atalho, executáveis não assinados com nomes alusivos a PDF e ligações TCP de saída para portas inesperadas. Os registos das contas, por si só, não apanharão este ataque.
• Trate os ficheiros .lnk como executáveis. Bloqueie ou coloque em quarentena os atalhos recebidos por e-mail ou descarregados e crie alertas quando o cmd.exe for lançado a partir de um atalho.
• Vigie a manipulação do Mark-of-the-Web. A eliminação do fluxo Zone.Identifier logo após uma transferência é um sinal forte.
• Se suspeitar de roubo de sessão, atue sobre a conta e não apenas sobre o equipamento. Isole o endpoint, preserve as provas, interrompa qualquer transferência de ficheiros e depois revogue todas as sessões ativas e reponha as credenciais afetadas. Mudar a palavra-passe sem revogar as sessões deixa o atacante com sessão iniciada.
• Encurte a duração das sessões nas contas críticas e associe as sessões a características do dispositivo sempre que o seu fornecedor de identidade o permita.

Os cookies e as credenciais roubados com ferramentas como o DarkCore acabam precisamente nos mercados onde este malware é vendido. O serviço de monitorização da Deep/Dark Web da 4tify vigia esses canais em busca dos domínios, endereços de e-mail e despejos de sessão da sua organização, para que uma conta comprometida possa ser revogada antes de ser revendida ou utilizada.

Indicadores de compromisso

Os indicadores estão desativados (defanged). Reative-os apenas numa plataforma controlada de threat intelligence ou no seu SIEM.