Microsoft expõe campanha que usa utilitários falsos de Roblox para instalar RATs

A campanha exposta pela Microsoft não é um ataque pontual, mas parte de um padrão consolidado: explorar a confiança em ferramentas de jogos populares para contornar defesas. O malware usa um runtime Java portátil, sem depender da instalação prévia do Java no sistema, e executa jd-gui.jar, um nome que imita uma ferramenta legítima de descompilação Java, enganando até usuários com algum conhecimento técnico. A cadeia de infecção é meticulosa: o executável inicial some após a primeira execução, o world.vbs garante persistência na inicialização, e exclusões no Defender são adicionadas via PowerShell, tudo usando apenas binários nativos do Windows, sem download de ferramentas externas. Isso reduz drasticamente a chance de detecção por EDRs que focam em artefatos novos ou assinaturas.

O endereço C2 79.110.49[.]15 já está listado em feeds de ameaças como associado a operações de exfiltração de credenciais e captura de sessões ativas. Diferente de RATs genéricos, esse carregador tem capacidade de baixar módulos específicos sob demanda, incluindo keyloggers e ferramentas de mineração oculta, dependendo do perfil da vítima identificado localmente. A escolha do Roblox e Xeno como iscas não é aleatória: dados da Kaspersky mostram que, só em 2024, mais de 1,6 milhão de ataques usaram falsos instaladores do Roblox, com pico em agosto, o que revela um ciclo anual de exploração ligado ao retorno das atividades escolares e aumento do tempo de tela entre adolescentes.

Empresas com funcionários jovens, equipes de TI remotas ou ambientes BYOD (bring your own device) estão especialmente vulneráveis: um único clique em um link de grupo de Discord ou Telegram pode comprometer toda a rede corporativa se o dispositivo estiver conectado a recursos internos. O fato de o malware apagar seus próprios rastros e desativar alertas do Defender torna a detecção tardia comum, muitas vezes só identificada quando há vazamento de credenciais ou tráfego anômalo para IPs maliciosos. Para equipes de segurança, o caso reforça a necessidade de monitorar não só downloads suspeitos, mas também alterações em tarefas agendadas, scripts de inicialização e exclusões no antivírus, indicadores de comprometimento que costumam ser ignorados em dashboards tradicionais.