Um infostealer escrito em Rust, batizado Warden Stealer, deixou de ser novidade de fórum underground para se tornar uma das famílias mais prevalentes na base de usuários da Gen Digital em poucos meses — e a versão 1.9 do malware passou a colher oficialmente tokens de agentes de IA de código, como os usados por Claude, Codex, Grok e Cursor. Times que administram estações de desenvolvimento precisam agir em duas frentes: rodar hunting com os indicadores já publicados e passar a tratar chaves de API e arquivos de configuração de assistentes de IA como segredos de produção, com rotação e monitoramento contínuos.
Como o Warden foi identificado
A Gen Threat Labs rastreava a família sob o nome interno CallbackBeaver antes de conectá-la ao anúncio do Warden em fóruns clandestinos. A atribuição cruzou três evidências: os primeiros builds foram observados no início de maio de 2026; o projeto teria sido aberto ao público em 21 de julho de 2026, segundo os próprios autores em entrevista pública; e a prevalência cresceu de forma acentuada a partir de agosto de 2026. Na mesma entrevista, os operadores afirmam que cerca de 110 clientes usam ativamente o serviço — número declarado pelos criminosos, sem verificação independente, mas coerente com a curva de amostras vista pelo laboratório.
Dois detalhes afastam o Warden da média dos stealers vendidos como serviço: ele distribui seus builds por um loader dedicado e traz um clipper de criptomoedas embutido. Na configuração original, o clipper cobria seis redes — BTC, ETH, TRX, XMR, SOL e TON — e a atualização 1.7 acrescentou LTC, XRP, ADA e BCH, mudança observada quase de imediato nas configurações dinâmicas dos builds novos. O mesmo padrão de análise artefato a artefato que o portal aplicou ao NeedyMantis vale aqui: a força da atribuição está no cruzamento de configuração, código e linha do tempo, não em um único indício.
Anatomia técnica do Warden
O escopo de coleta é agressivo: segundo a Gen, o Warden consegue roubar dados de mais de 360 aplicativos em 13 categorias, de navegadores Chromium e Gecko a mensageiros, gestores de senhas, clientes VPN e ferramentas de 2FA, com regras personalizadas de arquivo e registro para ampliar o alcance. Cada build carrega uma configuração dinâmica própria, e o conjunto efetivamente roubado varia de operador para operador.
A engenharia de evasão é o principal argumento de venda. Os autores propagandeiam o produto como o “único morfer real do mercado”, construído sobre parsing AST e passes LLVM IR, e afirmam que a transformação atua em níveis como layout do PE, árvore de sintaxe, IR e ASM. Na prática, os builds analisados pela Gen estão pesadamente ofuscados e morfados, o que, somado à dificuldade natural de reverter binários Rust, torna a detecção estática custosa. A Hudson Rock acrescenta que o binário fica em torno de 350 KB porque toda a criptografia e a lógica pesada rodam no servidor do atacante, e que a exfiltração usa um protocolo binário próprio e cifrado, ilegível para sensores de rede que esperam HTTP ou JSON.
A família também implementa um bypass da Application-Bound Encryption (ABE), o mecanismo do Chromium que protege cookies e senhas vinculando a desencriptação a instâncias autorizadas do navegador. É o tipo de pressão defensiva que derruba a confiança em “senha salva no navegador” como controle suficiente: em máquina comprometida por esse stealer, sessões autenticadas inteiras podem ser restauradas pelo atacante.
A Gen documenta ainda checagens anti-VM e atualizações constantes dos builds, o que reforça a necessidade de detecção comportamental. Em vez de depender de assinaturas, o time defensivo deve monitorar o padrão de acesso sequencial a perfis de navegador, cofres e diretórios de configuração de ferramentas de desenvolvedor a partir de um mesmo processo recém-criado.
Agentes de IA viraram alvo
O salto conceitual do Warden está no alvo. A versão 1.9, anunciada pelos autores em 29 de setembro de 2026, oficializou algo que antes dependia de regras escritas por operadores específicos: a coleta dedicada a ferramentas de código assistidas por IA. Pastas de coleta vazadas e analisadas pela Hudson Rock mostram diretórios visados como Claude Code, Codex CLI, GitHub e chaves SSH, e logs extraídos exibem arquivos como o.claude.json com valores brutos de primaryApiKey e dados OAuth da conta.
Isso muda o cálculo de risco das equipes. Dependendo do agente e da configuração, esses arquivos locais guardam tokens de acesso e renovação, dados em configurações MCP, históricos de prompts, bases de conversas e rastros dos projetos em andamento — ou seja, além do meio de entrada na conta, o atacante recebe o contexto necessário para entender quais dados valiosos existem por trás dela. Um token de CLI roubado dá acesso programático direto a modelos pagos, workspaces corporativos e, potencialmente, código-fonte que passa por essas ferramentas.
Sinais práticos para o SOC: criar regras para leitura dos diretórios de configuração dos agentes (por exemplo, o.claude.json e equivalentes de outros fornecedores) por processos não assinados, e alertar sobre consumo anômalo de API nos consoles dos provedores de IA — um token roubado costuma aparecer primeiro como custo inesperado do que como alerta de endpoint.
Indicadores de comprometimento
Para hunting imediato, a Gen publicou hashes e domínios de comando e controle extraídos dos builds. Amostras representativas incluem o hash de loader 006510ce1da2b7410376f0788c19e55616eb4bcc30072d25b7d0871dc32aa11c e o hash de stealer 04beeb716a79661ea770138558dbdebccb493bf6b4b1ec37f19b9c028dea98d5. Entre os domínios de C2 estão backtoblack7[.]com, skibidistealer[.]team, hotelcalifornia[.]club e web03-azureupdate[.]com — este último um exemplo clássico de nome que imita infraestrutura de atualização para passar despercebido em revisão manual de logs. A lista completa, com dezenas de hashes e domínios, está no repositório público de IoCs mantido pelos pesquisadores da Gen.
Plano de defesa P1 e P2
| Prioridade | Ação | Como verificar |
|---|---|---|
| P1 | Rotacionar chaves de API e tokens de ferramentas de IA e desenvolvimento em estações com exposição | Revogar e reemitir no console do fornecedor; procurar usos anômalos anteriores à rotação |
| P1 | Caçar os IoCs publicados (hashes SHA-256 e domínios C2) em EDR, proxy e DNS | Consultar histórico de 90 dias, não apenas o tráfego corrente |
| P1 | Tratar arquivos como.claude.json, configurações MCP e chaves SSH como segredos | Mover para cofre gerenciado; tirar da estação de trabalho quando possível |
| P2 | Bloquear instaladores de software pirata e páginas de falsa verificação de CAPTCHA | Controle de aplicação e filtragem de categorias no proxy |
| P2 | Monitorar tentativas de bypass de ABE e leitura de perfis de navegador | Regras de EDR para acesso aos diretórios de dados do Chromium |
| P2 | Revisar carteiras cripto em máquinas compartilhadas | Verificar transações para endereços desconhecidos; reassumir custódia em hardware |
O plano pressupõe uma resposta a incidentes com autoridade e evidência: decidir quem revoga o quê, e com qual registro, antes de o incidente acontecer. Para vítimas de roubo de dados em geral, o passo a passo do guia como saber se meus dados vazaram sem fornecer mais dados segue válido como primeiro atendimento.
Brute-force de carteiras cripto
Para carteiras, o Warden vai além da lista de senhas comum. O motor constrói um dicionário personalizado a partir do próprio log roubado da vítima — senhas de navegador, logins, e-mails e dados de autocomplete — e aplica mais de 490 regras de mutação, gerando até 20 milhões de candidatos de senha por carteira. Os desenvolvedores alegam ter escaneado mais de 61.700 endereços em poucos dias, quebrando 66% das carteiras com saldo, com retorno acumulado superior a US$ 485.000; esses números são reivindicações dos próprios criminosos, sem verificação independente, mas o desenho técnico descrito por fontes distintas dá credibilidade ao mecanismo. A assinatura do serviço chega a US$ 1.500 por mês no nível Enterprise, com suporte dedicado — a estrutura de um SaaS legítimo aplicada ao crime organizado.