Malware types

• Wacatac / Trojan.Downloader normalmente dão persistência e baixam payloads de segunda fase (por exemplo, um encryptor).
• Fragtor/Rugmi apareceu em relatórios como rótulo ligado a variantes que, em alguns casos, exibiram comportamento de ransomware — isto torna a amostra de alto risco.

• Procurar notas de resgate:
  Get-ChildItem C:\ -Recurse -ErrorAction SilentlyContinue -Include '_readme','README','HOW_TO_DECRYPT','DECRYPT' | Select-Object FullName -First 200
• Procurar extensões estranhas:
  Get-ChildItem C:\Users -Recurse -ErrorAction SilentlyContinue | Where-Object {$_.Extension -in '.locked','.crypt','.crypted','.encrypted','.enc','.lock'} | Select-Object FullName -First 50
• Ver shadow copies:
  vssadmin list shadows
  Esses são sinais fortes de cifragem/remoção de ficheiros.
  4) Faça um scan offline / rescue (importante):
• Execute “Microsoft Defender Offline” (Windows Security → Virus & threat protection → Scan options → Microsoft Defender Offline → Scan now).
• Ou crie um Rescue USB (Kaspersky Rescue / Bitdefender Rescue) em um PC limpo e faça scan com ele. Scans fora do Windows pegam persistência/kernel/rootkits que o antivírus em‑sistema pode perder.
  5) Se tiver cópias para backup (externo): antes de abrir qualquer ficheiro, escaneie esse disco em um PC limpo ou via Rescue ISO. Não execute .exe/.iso/instaladores vindos da máquina infectada sem verificar assinaturas/hashe.s
  6) Se houve troca de credenciais no PC (bancos, email, Steam etc.: altere senhas a partir de um dispositivo limpo e ative MFA — infostealers como Rhadamanthys roubam credenciais.
  7) Se confirmar ransomware (ransom notes, muitas renomeações, shadow copies removidas): isole, faça imagem do disco se precisar de evidência forense e reinstale o Windows a partir de mídia limpa; restaure só de backups verificados.

• Você já fez o passo importante: submeteu ao VirusTotal e viu múltiplos motores a detectar (rótulo “trojan.fragtor / rugmi”) — isso aumenta muito a probabilidade de ser malicioso e não um falso positivo. Um resultado multi‑engine consistente é um sinal de perigo; o próximo passo é examinar comportamento / sandbox ou seguir a contenção acima.

1. It remains latent in standby mode, awaiting commands.
2. It modifies, deletes, or corrupts files.

• Mesmo nome de deteção = mesma família/assinatura/heurística, não comportamento idêntico. Um “rótulo” cobre múltiplas variantes e builds; cada amostra pode:
  • ficar latente (pôr‑se em standby à espera de comandos do C2) — comportamento típico de backdoors/RATs; ou
  • executar ações imediatas (roubar credenciais, descarregar payloads, descarregar um encryptor e executá‑lo); ou
  • combinar ambos: persistir (instalar mecanismo de arranque) e aguardar instruções.
    Em suma: o rótulo diz “da mesma família”; a variante, configuração e o payload secundário é que determinam o comportamento real.

• “Permanece latente em standby à espera de comandos?” — Sim, muitas famílias tipo Wacatac/backdoor têm exactamente esse modo: ficam à escuta de comandos do servidor de comando (C2) e executam o que vier (downloaders, execução remota, exfiltração).
• “Modifica, apaga ou corrompe ficheiros?” — Nem sempre a própria amostra inicial faz isso. Muitas vezes o trojan/downloader só fornece persistência e descarrega um segundo payload que faz a cifragem (ransomware) ou a destruição (wiper). Contudo, variantes concretas da família (ou payloads descarregados) podem e já foram observadas a cifrar/apagar ficheiros — por isso não presuma inocuidade.

• Pode. Comportamento típico de downloaders/droppers:
  1. O downloader/backdoor baixa o payload de 2ª fase (ransomware, stealer, RAT).
  2. Executa esse payload (que faz a ação destrutiva).
  3. O primeiro estágio pode tentar remover o seu ficheiro (self‑delete) ou limpar traços para dificultar a análise.
• E quanto a “evadir scanners futuros”? Depende — auto‑eliminação pode dificultar a descoberta do ficheiro original, mas deixará traços:
  • entradas de persistência (Run keys, serviços, tarefas agendadas), DLLs carregadas, serviços instalados;
  • logs no antivírus (histórico/quarentena), entradas no Event Viewer;
  • conexões de rede (C2), ficheiros descarregados ainda presentes;
  • atividade de processo e módulos em memória (se o payload foi in‑memory).
    Ou seja: a self‑deletion ajuda o atacante, mas não garante invisibilidade. Ferramentas de detecção modernas também usam heurística/telemetria e detecção comportamental (e o histórico/cloud) para ligar os pontos.

• Procurar notas de resgate:
  powershell -Command "Get-ChildItem C:\ -Recurse -ErrorAction SilentlyContinue -Include '_readme','README','HOW_TO_DECRYPT','DECRYPT' | Select-Object FullName -First 200"
• Procurar extensões estranhas (ex.: .locked, .crypted):
  powershell -Command "Get-ChildItem C:\Users -Recurse -ErrorAction SilentlyContinue | Where-Object {$_.Extension -in '.locked','.crypt','.crypted','.encrypted','.enc','.lock'} | Select-Object FullName -First 50"
• Ver shadow copies (VSS):
  vssadmin list shadows

• Run keys:
  reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /s
  reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /s
• Tarefas agendadas:
  schtasks /query /fo LIST /v | findstr /I "secure"
• Exportar Autoruns (melhor usar Autoruns GUI e File→Save) e procurar entradas apontando para AppData\Roaming\secure ou QtWebKit4.dll

• Processos com caminho:
  powershell -Command "Get-Process | Where-Object {$_.Path} | Select Id,ProcessName,Path | Format-Table -AutoSize"
• Conexões estabelecidas:
  netstat -ano | findstr ESTABLISHED

• Windows Security → Virus & threat protection → Protection history — veja detections, datas e acções (quarantine, remove).

• Isole o PC (desligue rede).
• Faça imagem do disco se quiser preservar evidência.
• Backup offline dos seus dados críticos (scaneie a cópia noutra máquina limpa antes de abrir).
• Execute scans offline / rescue (Microsoft Defender Offline; Kaspersky Rescue, Bitdefender Rescue).
• Se houver evidência de ransomware (ransom notes; muitos ficheiros renomeados; shadow copies removidas) — reformat + instalação limpa e restaure só de backups verificados.
• Se for apenas downloader/stealer: troque senhas importantes a partir de um PC limpo e considere reinstalar se encontrar persistência.

• Uma deteção multi‑motor (muitos engines no VirusTotal) + Defender a ter colocado em quarentena = bastante indicativo de amostra maliciosa. Mas a “família” é ampla; o comportamento real depende da variante/payload. Se quiser que eu verifique o relatório do VirusTotal para o hash que você já deu (935cd9070..., eu posso ler os motores que detectaram, os nomes usados e dizer se algum chamou explicitamente “ransomware/encryptor” — isso ajuda a decidir urgência.

• A) analise o relatório VirusTotal para o hash 935cd9070... (eu resumo os motores e etiquetas), ou
• B) guie você passo a passo (em Português) para executar os comandos acima e colar aqui os resultados para eu interpretar?

• Microsoft Defender detectou e colocou em quarentena AppData\Roaming\Secure\QtWebKit4.dll com a marca Trojan:Win32/Wacatac.C!ml. Isso significa que o motor de Defender (assinatura + heurística/ML em nuvem — o “!ml”) considerou o ficheiro parte da família Wacatac (trojan/downloaders/backdoor).
• Kaspersky Free não o encontrou provavelmente por diferenças de detecção (assinaturas/heurísticas/cloud), empacotamento/obfuscação do ficheiro, ou porque a amostra é uma variante que ainda não tinha assinatura no motor do Kaspersky naquele momento. Não é incomum produtos diferentes discordarem — especialmente quando uma detecção é baseada em modelos ML na nuvem.
• Se o VirusTotal mostrou ~30/72 detecções para esse hash (935cd907..., isso é forte indício de que o ficheiro é malicioso — muito mais provável de ser real do que um falso positivo.

1. Diferentes motores: cada AV usa bases de assinaturas, heurísticas e modelos ML diferentes. O Defender usa sinais de cloud/telemetria que às vezes pegam variantes que outros ainda não detectaram.
2. Heurística/ML vs assinatura: o sufixo “!ml” no nome do Defender indica detecção por modelo ML/telemetria — nem todos os AVs têm a mesma regra de ML.
3. Contexto e localização: um Qt DLL localizado em AppData\Roaming\Secure (em vez da pasta do programa) é um sinal comportamental que aumenta a suspeita; alguns AVs usam contexto/telemetria para pontuar risco.
4. Packing/obfuscação/timing: se o ficheiro estiver empacotado, alguns scanners on‑access podem não ter o signature match, enquanto o Defender cloud pode reconhecer comportamento.

• Wacatac e downloaders geralmente não são “encryptors” por si só, mas frequentemente servem como estágio‑1 para baixar e executar payloads de segunda fase (ransomware, wipers, RATs). Ou seja: o ficheiro detectado pode não ter cifrado/apagado ficheiros diretamente, mas pode ter permitido que outro malware o fizesse. Trate a situação como um compromisso potencialmente sério até confirmar.

• Windows Security → Virus & threat protection → Scan options → Microsoft Defender Offline → Scan now.
  4) Use um rescue ISO / bootable scanner (o melhor para persistência/rootkits): criar Kaspersky Rescue ou Bitdefender Rescue USB em PC limpo e arrancar o PC infectado para um scan completo.
  5) Verifique sinais de ransomware/impressos: execute (PowerShell elevado)
• Procurar notas de resgate:
  Get-ChildItem C:\ -Recurse -Include '_readme','README','HOW_TO_DECRYPT' -ErrorAction SilentlyContinue
• Procurar extensões suspeitas nas pastas de usuário:
  Get-ChildItem C:\Users -Recurse -ErrorAction SilentlyContinue | Where-Object {$_.Extension -in '.locked','.crypt','.crypted','.encrypted','.enc','.lock'}
• Ver shadow copies: vssadmin list shadows
  Se aparecerem notas de resgate/extensões estranhas = provável ransomware.
  6) Procure persistência (Autoruns é ideal): baixe Autoruns (Sysinternals), execute como Administrador, File → Save → procure entradas apontando para AppData\Roaming\Secure, QtWebKit4.dll ou Caller.exe.
  7) Ver processos e ligações de rede (se o sistema ainda estiver ativo):
• Listar processos com caminho: powershell -Command "Get-Process | Where-Object {$_.Path} | Select Id,ProcessName,Path"
• Conexões estabelecidas: netstat -ano | findstr ESTABLISHED
  8) Se encontradas evidências de comprometimento ativo (persistência, C2, numerosos ficheiros modificados): isole, faça imagem do disco para evidência e planeie reinstalar o Windows. Se apenas a DLL isolada foi encontrada e nada mais aparece, um scan offline + rescans em máquina limpa normalmente resolvem.
  9) Se usou contas/senhas naquele PC, altere senhas importantes a partir de um dispositivo limpo e habilite MFA — infostealers podem ter sido ativos.

• Com um resultado de ~30/72 no VirusTotal, falso positivo é improvável. Se ainda quiser contestar: submeta o ficheiro à Microsoft para reanálise via Windows Defender Security Intelligence (não restaure até resposta).

• Posso analisar o relatório do VirusTotal para o hash 935cd9070679168cfcea6aea40d68294ae5f44c551cee971e69dc32f0d7ce14b e dizer quais motores o chamaram de “Fragtor/Rugmi” e se algum chama explicitamente de ransomware. (Você forneceu esse hash antes. Responda “Analisa VT” e eu descrevo engine‑by‑engine.
• Ou guio‑lo passo‑a‑passo (em PT‑BR) para correr os comandos seguros no seu PC e colar aqui a saída (Autoruns export, resultados PowerShell), eu interpreto e digo se é necessário reinstalar ou se limpeza offline basta. Responda “Guia comandos” para isso.

• Defender encontrou algo malicioso e colocou em quarentena — boa notícia.
• Kaspersky/Malwarebytes podem não ter detectado por razões técnicas; isso não anula a detecção do Defender.
• Trate a situação como grave: deixe em quarentena, faça um scan offline/rescue e verifique sinais de ransomware. Se quiser eu analiso o VirusTotal para o hash que você já deu ou o guio nos passos — qual prefere?

• Mesmo que esta DLL (QtWebKit4.dll) seja um componente trojan/downloader/backdoor (Wacatac / Fragtor/Rugmi em alguns motores), ela pode:
  1) ficar latente e aguardar comandos do atacante (C2) — comportamento típico de backdoors;
  2) descarregar e executar um payload secundário (por exemplo um stealer, RAT ou ransomware) que é quem, de facto, pode cifrar/apagar/corromper ficheiros;
  3) às vezes apagar o próprio ficheiro inicial depois de cumprir o objetivo (self‑delete). Portanto a presença da DLL detectada não prova por si que os seus ficheiros já foram cifrados — mas aumenta o risco de que algo mais tenha sido instalado.

• Não é possível afirmar com 100% de certeza apenas pelo hash. Mas:
  • Se a DLL agiu como downloader, é comum que tenha baixado 1 ou mais payloads.
  • Para confirmar se houve payloads adicionais instalados, precisamos procurar indicadores de persistência, processos e ficheiros descarregados (veja passos abaixo).

• Notas de resgate:
  powershell -Command "Get-ChildItem C:\ -Recurse -ErrorAction SilentlyContinue -Include '_readme','README','HOW_TO_DECRYPT','DECRYPT' | Select-Object FullName -First 200"
• Extensões estranhas/nova extensão:
  powershell -Command "Get-ChildItem C:\Users -Recurse -ErrorAction SilentlyContinue | Where-Object {$_.Extension -in '.locked','.crypt','.crypted','.encrypted','.enc','.lock'} | Select-Object FullName -First 50"
• Ver shadow copies:
  vssadmin list shadows
  Se encontrar notas/extensões/remoção de shadow copies → tratar como incidente de ransomware.

• Chaves Run (startup):
  reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /s
  reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /s
• Tarefas agendadas:
  schtasks /query /fo LIST /v | findstr /I "secure"
• Exportar Autoruns (Sysinternals Autoruns) e procurar entradas apontando para AppData\Roaming\Secure, QtWebKit4.dll ou Caller.exe. (Autoruns → Run as Admin → File → Save).

• Listar processos com caminho:
  powershell -Command "Get-Process | Where-Object {$_.Path} | Select Id,ProcessName,Path | Format-Table -AutoSize"
• Conexões TCP estabelecidas:
  netstat -ano | findstr ESTABLISHED
  Se ver processos desconhecidos apontando para AppData\Roaming\secure ou conexões para IPs/domínios suspeitos, é sinal de atividade adicional.

• Execute Microsoft Defender Offline (reboot scan) e/ou crie um Rescue USB (Kaspersky Rescue ou Bitdefender Rescue) e faça um scan completo offline — isto apanha rootkits e componentes persistentes que scans em‑SO podem perder.

• Sim — é técnica comum: um downloader pode baixar o payload, executar‑o, e então apagar o próprio ficheiro inicial para dificultar investigação.
• Auto‑eliminação pode reduzir detecções futuras do ficheiro original, mas geralmente deixam vestígios:
  • entradas de persistência (Run keys, serviços, scheduled tasks),
  • ficheiros baixados ainda presentes,
  • logs do antivírus / event viewer,
  • processos em memória e conexões de rede.
    Portanto apagar‑se não garante que o infeitor “desapareça” por completo — peritos e ferramentas forenses ainda conseguem seguir rastros.

• Se não encontrou notas de resgate e rescans offline com 2‑3 motores saem limpos → provavelmente o estágio 1 foi isolado e não houve payload destrutivo.
• Se encontrou sinais (notas, muitas alterações, shadow copies apagadas) → isolar máquina, image do disco (se precisar forense), reinstalar Windows e restaurar só backups limpos.
• Mudar senhas importantes a partir de outro dispositivo limpo (se houver infostealer).

• Wacatac‑type detections are usually a downloader/backdoor — their role is to persist and download additional malware (stage‑2).
• The downloaded stage‑2 binary can perform malicious actions (steal, encrypt, delete) and may delete itself afterwards. That can remove the active executable from the filesystem so a normal in‑Windows scan won’t find it.
• Even if the file is deleted, Windows and the system often keep other traces (recent file modifications, Event Logs, scheduled tasks, registry Run keys, MFT/USN records, shadow copies, network logs). Offline/rescue scans and forensic checks can detect these.

• Different engines use different signatures and ML heuristics; one engine (e.g., Defender cloud/ML) can flag a file while others miss that exact build — so detection results can differ. That’s why multiple engines / offline rescue scans are recommended.

1. If the PC is online, isolate it — unplug Ethernet and turn off Wi‑Fi. (Prevents further downloads/exfiltration.
2. Do NOT restore any quarantined items. Leave Defender’s quarantine alone.
3. Back up your important personal files (documents, photos) to an external drive, then disconnect that drive. Scan that backup from a known‑clean machine before opening files.
4. Run an offline / boot rescue scan: Windows Security → Virus & threat protection → Scan options → Microsoft Defender Offline → Scan now — or create and boot a rescue USB (Kaspersky/Bitdefender) and run a full scan. Offline scans catch persistent/rootkit components that in‑OS scans can miss.
5. Check for persistence and artifacts (if you’re comfortable running diagnostics). Useful commands / checks:
   • List Run keys / scheduled tasks and Autoruns (look for entries pointing at the suspicious folder).
   • netstat to look for established C2 connections.
   • Check recent file modifications and shadow copies (vssadmin).
     Example commands: reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /s, schtasks /query /fo LIST /v | findstr /I "secure", netstat -ano | findstr ESTABLISHED. I can walk you through these step‑by‑step.
6. If you find evidence of ransomware/wiper activity (ransom notes, mass file encryption, deleted shadow copies) — stop using the machine, image the drive for evidence, and plan a clean reinstall; assume full compromise.

• Don’t execute suspicious files on your main PC. Calculate the file hash(s) (SHA‑256) or paste the VirusTotal link(s) and I can interpret which engines flagged what and how risky each sample looks. Or I can guide you step‑by‑step to create and run a rescue ISO and collect Autoruns/netstat output for analysis.

• Did Defender quarantine the file?
• Can you paste the SHA‑256 or the VirusTotal link(s) for the suspicious file(s)?
  I’ll help interpret detections and give the exact next steps.

nandobadam88 said:

What are the names of types of malware that acess, modify, delete, or corrupt PC hdd and ssd files (Windows files and personal files, games, music, executables, ISO, IMG, RAR, ZIP, 7Z)? Does all malware have the potential to do this?

In this case, how are the malware QtWebKit4.dll (Trojan:Win32/Wacatac.C!ml), Caller.exe (DrWeb detects
Trojan.DownLoader47.36298), and Caller.exe (VBA32 detects
TrojanPSW.Rhadamanthys) classified?

Caller.exe is related with QtWebKit4.dll? in same folder

Click to expand...