Mais de 100 Repositórios no GitHub Distribuem o Stealer BoryptGrab

O BoryptGrab não é só mais um stealer genérico: ele foi construído em C/C++ com foco em evasão e escalabilidade, usando técnicas como detecção de VMs, comparação de processos em tempo real e execução condicional com privilégios elevados. Desde abril de 2025, os atacantes mantêm uma operação coordenada no GitHub, mais de 100 repositórios falsos, otimizados para SEO, direcionam usuários para páginas de download que servem ZIPs maliciosos. Esses arquivos contêm o stealer principal, mas também carregam cargas secundárias como o backdoor TunnesshClient (túnel SSH reverso), variantes do Vidar e o downloader HeaconLoad em Go.

Ele extrai dados de 6 navegadores principais, 30+ carteiras de criptomoedas desktop e extensões, além de capturar telas, roubar arquivos do Telegram e, nas versões mais recentes, tokens do Discord. Comentários em russo no código e infraestrutura hospedada em IPs vinculados à Rússia reforçam a hipótese de origem russa, algo raro entre stealers em C/C++, que normalmente são menos difundidos que os feitos em .NET ou Python.

Empresas que permitem acesso não supervisionado ao GitHub, especialmente equipes de desenvolvimento e TI, estão expostas diretamente: um único clique em um repositório falso pode comprometer credenciais corporativas, chaves de API, tokens de sessão e até chaves privadas de carteiras usadas em ambientes de teste. Diferente de stealers baseados em PowerShell ou scripts, o BoryptGrab opera nativamente, com menor taxa de detecção por EDRs e capacidade de persistência via DLL sideloading. A presença do túnel SSH reverso também transforma máquinas infectadas em pontos de entrada para redes internas, aumentando o risco de movimentação lateral.