PyStoreRAT é um novo RAT modular distribuído por repositórios falsos no GitHub que passa por ferramentas de OSINT, bots de negociação e wrappers de IA, com foco em profissionais de TI, segurança e inteligência de código aberto.
A campanha usa contas antigas reativadas, projetos gerados com IA e commits “de manutenção” para injetar o backdoor, que depois perfila o host, implanta stealers como Rhadamanthys e adapta o modo de execução para escapar de EDRs como CrowdStrike Falcon, CyberReason e ReasonLabs.
Como a campanha funciona
Pesquisadores da Morphisec observaram que os operadores reativaram contas GitHub que estavam inativas há anos e obtiveram a publicação de projetos aparentemente legítimos, com código e documentação gerada por IA.
Entre esses projetos estão ferramentas de OSINT (como “spyder-osint”), bots DeFi de negociação e wrappers de GPT/IA (como HacxGPT e KawaiiGPT), criados para ganhar rapidamente visibilidade e confiança na comunidade técnica.
Após alguns desses repositórios entrarem em listas de “tendências” e acumularem estrelas, os crimes passaram a introduzir pequenas mudanças de código, como simples manutenção ou correções.
Esses commits adicionam carregadores em Python ou JavaScript que baixam e executam arquivos HTA ou outros módulos maliciosos, implantando o PyStoreRAT na máquina das vítimas.
Capacidade e evasão do PyStoreRAT
O PyStoreRAT atua como um carregador multiestágio que coleta um perfil detalhado do sistema (SO, hardware, domínio, ferramentas de segurança) antes de decidir quais payloads adicionais entregar.
Ele suporta a execução de vários formatos (EXE, DLL, PowerShell, MSI, Python, JavaScript, HTA), opcionalmente como plataforma para cargas como o ladrão Rhadamanthys e outros módulos de espionagem.
O malware é adaptativo: ao detectar soluções como CrowdStrike Falcon ou produtos relacionados ao CyberReason/ReasonLabs, altere a técnica de lançamento para reduzir indicadores de comprometimento e escapar de monitoramentos baseados em comportamento.
Além disso, é capaz de se propagar via mídias removíveis (como USB), buscar módulos adicionais diretamente da infraestrutura de comando e controle (C2) e atualizar dinamicamente sua configuração.
Infraestrutura de C2 e declarações de origem
A campanha utiliza uma infraestrutura de C2 em “rotação circular”, com nós nomeados em padrões como “node{i}-py-store” e domínios relacionados ao “py-installer”, o que permite atualizar comandos e cargas úteis rapidamente e dificultadas.
Esse design aumenta a resiliência da operação e facilita testes e iterações frequentes de novas versões do RAT e de seus módulos.
Pesquisadores também encontraram argumentos linguísticos no código, incluindo cadeias em russo, como “СИСТЕМА” (“SYSTEM”), envolvendo envolvimento de operadores que falam russo ou, no mínimo, tentativas de atingir também alvos em ambientes de língua russa.
Segundo a Morphisec, o nível de planejamento, o uso de IA para dar legitimidade e a engenharia social direcionada coloca essa campanha “muito além do ruído típico” de malware disseminado via GitHub.
Repositórios maliciosos pagos
UM Morphisec e outras fontes listam diversas repositórios GitHub usados na campanhamuitos já removidos, mas alguns ainda acessíveis.
Entre eles estão projetos de OSINT, bots criptografados e importados de IA, como: setls/HacxGPT, turyems/openfi-bot, bytillo/spyder-osint, gonflare/KawaiiGPT, aiyakuaile/easy_tv_live, adminlove520/VulnWatchDog e shivas1432/sora2-watermark-remover.
Essa mistura de branding “segurança/OSINT/IA”, código aparentemente útil e popularidade fabricado torna esses repositórios altamente conhecidos para pesquisadores, analistas e administradores que buscam gratuitamente no GitHub. É exatamente esse contexto de confiança na plataforma e no ecossistema open source que a campanha explora como vetor de cadeia de suprimentos.
Recomendações para pesquisadores e tempos de segurança
Para profissionais de OSINT, TI e segurança, baixar ferramentas diretamente do GitHub passa a representar um risco de cadeia de suprimentos a dependências maliciosas em registros como PyPI ou npm.
Morfhisec destaca que modelos tradicionais de detecção baseados apenas em assinaturas, heurísticas simples ou confiança do repositório se tornam “fundamentalmente pouco confiáveis” frente a campanhas que usam IA para parecer legítimos e se adaptarem a EDRs.
Boas práticas mínimas incluem: revisar o histórico de commits, validar quem são os mantenedores, testar ferramentas em ambientes isolados e aplicar listas de permissão internas para projetos de repositórios de confiança.
Para ambientes mais sensíveis, é silencioso combinar controle de aplicações, monitoramento de criação/execução de scripts (Python/JS/HTA), inspeção de tráfego para C2 dinâmico e soluções que embaralham a superfície de memória/execução para bloquear carregadores como o PyStoreRAT antes que consigam se estabelecer.
