PureLogs, PureRAT e a confusão em torno do rótulo "zgRAT"

O post técnico da Netresec ataca um problema recorrente em threat intelligence: rótulos de malware genéricos e mal definidos que diferentes fornecedores aplicam de forma inconsistente. Segundo o autor, "zgRAT" vem sendo usado tanto para amostras do infostealer PureLogs quanto para o RAT PureRAT, dois produtos distintos vendidos pelo mesmo desenvolvedor conhecido como PureCoder, o que gera confusão na hora de compartilhar indicadores e definir a resposta a um incidente.

A diferenciação proposta é baseada em telemetria de rede e não apenas em assinatura estática: o PureLogs usa portas TCP 7701-7710 sem TLS e 8443 com TLS para exfiltrar credenciais, dados de cartão, cookies e carteiras de criptomoeda, enquanto o PureRAT opera nas portas TCP 56001-56003 e oferece recursos de RAT completo — VNC oculto, acesso à webcam, keylogging e proxy reverso. Ambos são implementados em .NET e usam TLS para ofuscar o tráfego, mas certificados SSL maliciosos reutilizados permitem rastrear infraestrutura e amostras ao longo do tempo, e o autor cita assinaturas Suricata específicas para cada família.

Na prática, esse tipo de confusão de nomenclatura tem custo operacional real para times de DFIR e resposta a incidentes: classificar erroneamente um infostealer como RAT (ou vice-versa) muda o escopo da investigação — se o objetivo é conter exfiltração de credenciais ou uma sessão de controle remoto ativo — e pode levar a IOCs compartilhados de forma incorreta entre organizações. A recomendação do autor de usar fingerprinting de protocolo C2 (citando a ferramenta FlowCarp) em vez de confiar apenas no rótulo do antivírus é um lembrete de que a atribuição de família de malware deveria se apoiar em evidência de rede reproduzível, não só em heurísticas de motor.