# RisePro
> Tipo: **infostealer** - [CISA Alert AA24-038A](https://www.cisa.gov/news-events/cybersecurity-advisories)
> [!warning] Crescimento Explosivo em 2024
> RisePro passou de 1,4% para 22,45% de todas as infeccoes por infostealer em 2024 - um crescimento de 16x em um ano. Distribuido principalmente via PrivateLoader (servico PPI), o RisePro e técnicamente similar ao [[vidar-stealer|Vidar]] com melhorias em escala e evasão, e tornou-se um dos stealers mais frequentemente detectados em vazamentos de credenciais corporativas.
## Visão Geral
[[risepro|RisePro]] e um infostealer surgido em dezembro de 2022, técnicamente derivado ou fortemente inspirado no [[vidar-stealer|Vidar]] Stealer - compartilhando estrutura de código C++, o uso de bibliotecas legitimas como Telegram como C2, e o modelo de coleta em massa de credenciais. O malware foi distribuido inicialmente via [[privateloader|PrivateLoader]], um servico de Pay-Per-Install (PPI) no ecossistema de cibercrime russo, que o propagou em campanhas de malvertising e cracks de software pirata.
O crescimento do RisePro em 2024 foi notavel: analistas documentaram uma expansao de participacao de mercado de 1,4% para 22,45% dentro do ecossistema de infostealers - tornando-o o segundo ou terceiro stealer mais ativo em volume de infeccoes globalmente. Esse crescimento reflete tanto a eficiencia de sua distribuição via PrivateLoader quanto a qualidade dos dados capturados, que sao vendidos em forums como o **Russian Market** e telegram channels de "logs".
Técnicamente, o RisePro suporta coleta de credenciais de **75+ browsers**, dados de **carteiras de criptomoedas**, arquivos de interesse, e screenshots. A comunicação C2 usa o protocolo TCP direto (diferente da maioria dos stealers que usam HTTP), com logs enviados em formato ZIP para o servidor do operador.
**Plataformas:** Windows
## Como Funciona
1. **Entrega:** Distribuido via [[privateloader|PrivateLoader]] em downloads de software pirata, geradores de chave (keygens), cracks de jogos e ferramentas "gratis"
2. **Reconhecimento:** Coleta dados do sistema ([[t1082-system-information-discovery|T1082]]), enumera software de segurança ([[t1518-001-security-software-discovery|T1518.001]]) e verifica localidade ([[t1614-system-location-discovery|T1614]]) - geofencing anti-CIS
3. **Coleta de browsers:** Extrai credenciais salvas, cookies, historico e dados de autopreenchimento de 75+ browsers Chromium e Firefox ([[t1555-003-credentials-from-web-browsers|T1555.003]], [[t1539-steal-web-session-cookie|T1539]])
4. **Crypto wallets:** Coleta seeds, private keys e dados de extensoes de carteiras (MetaMask, Exodus, Atomic, Trust Wallet, etc.)
5. **Coleta de arquivos:** Busca arquivos com extensoes de interesse (.txt, .doc, .docx, .pdf, .wallet, .key) ([[t1083-file-and-directory-discovery|T1083]])
6. **Screenshot:** Captura tela do sistema ([[t1113-screen-capture|T1113]])
7. **Empacotamento:** Compacta todos os dados coletados em arquivo ZIP com estrutura padrao de "log"
8. **Exfiltração TCP:** Envia logs via protocolo TCP direto ([[t1041-exfiltration-over-c2-channel|T1041]]) para servidor do operador (diferente de HTTP/HTTPS usual)
```mermaid
graph TB
A["PrivateLoader PPI<br/>Crack / Keygen / Pirata"] --> B["RisePro Dropper<br/>Execução inicial"]
B --> C["Fingerprinting<br/>T1082 + T1518 + T1614"]
C --> D{"Geofencing CIS<br/>Sistema em russo?"}
D --> |"Nao CIS"| E["Browser harvest<br/>T1555.003 - 75+ browsers"]
E --> F["Cookie theft<br/>T1539 - Sessoes ativas"]
F --> G["Crypto wallets<br/>Seeds e private keys"]
G --> H["Coleta de arquivos<br/>T1083 - Extensoes config"]
H --> I["Screenshot<br/>T1113"]
I --> J["Empacota em ZIP<br/>Formato log padrao"]
J --> K["Exfiltração TCP<br/>T1041 - Protocolo direto"]
K --> L["Logs vendidos<br/>Russian Market / Telegram"]
```
## Timeline de Eventos
```mermaid
timeline
title RisePro - Crescimento Explosivo
2022-dez : Primeiras amostras identificadas
: Distribuição via PrivateLoader
2023 : Crescimento gradual de adocao
: Participacao 1.4% do mercado de stealers
2024-ján : Aceleracao massiva de campanhas
: Distribuição em cracks de jogos AAA
2024 : Participacao dispara para 22.45%
: Segundo stealer mais ativo por volume
: Logs vendidos regularmente no Russian Market
2025 : Continua crescendo com novas variantes
: Adocao por multiplos grupos independentes
```
## Técnicas Utilizadas
| Técnica | Descrição |
|---------|-----------|
| [[t1555-003-credentials-from-web-browsers\|T1555.003]] | Credenciais de 75+ browsers Chromium/Firefox |
| [[t1539-steal-web-session-cookie\|T1539]] | Cookies de sessao de todas as contas ativas |
| [[t1082-system-information-discovery\|T1082]] | Fingerprinting completo do sistema comprometido |
| [[t1005-data-from-local-system\|T1005]] | Coleta dados locais - carteiras, arquivos, apps |
| [[t1041-exfiltration-over-c2-channel\|T1041]] | Exfiltração via TCP direto (nao HTTP) |
| [[t1083-file-and-directory-discovery\|T1083]] | Busca arquivos por extensao configuravel |
| [[t1614-system-location-discovery\|T1614]] | Geofencing para evitar sistemas CIS |
| [[t1518-001-security-software-discovery\|T1518.001]] | Enumera AV e ferramentas de segurança |
| [[t1027-obfuscated-files-or-information\|T1027]] | Código e strings ofuscados |
| [[t1113-screen-capture\|T1113]] | Screenshot no momento da execução |
## Grupos que Usam
Vendido como stealer standalone - qualquer operador pode comprar logs no Russian Market ou adquirir acesso direto. Distribuido principalmente via PrivateLoader PPI, que alimenta dezenas de campanhas simultaneas de diferentes compradores.
## Impacto no Brasil e LATAM
O vetor de distribuição primario do RisePro - software pirata e cracks de jogos - e altamente relevante para o Brasil, onde o consumo de software pirata permanece significativo. O Brasil e historicamente um dos maiores consumidores de jogos e software crackeados da América Latina, tornando-o um alvo natural para campanhas do PrivateLoader que distribuem RisePro.
Os logs capturados pelo RisePro sao vendidos no Russian Market por valores entre $1-$50 por "log" (um conjunto de dados de uma vitima). Credenciais de contas bancarias e corretoras brasileiras, contas de e-commerce e sessoes de redes sociais sao particularmente valorizadas e podem ser usadas para fraudes diretas ou como ponto de acesso a redes corporativas.
> [!danger] Vetor: Software Pirata
> Qualquer organização com politica permissiva sobre software nao-licenciado em endpoints corporativos esta criando um vetor direto para infecção por RisePro e stealers similares. Software pirata e crack de jogos sao os principais vetores de distribuição.
## Detecção
- Monitorar acesso aos arquivos SQLite do Chrome (`Login Data`, `Cookies`, `Web Data`) por processos nao-browser
- Alertar para conexoes TCP de saida para IPs externos em portas altas (3000-9999) por processos suspeitos
- Detectar criação de arquivo ZIP grande por processos nao-usuario em diretorios temporarios
- Implementar politica de aplicativos permitidos (allowlisting) para prevenir execução de software nao-autorizado
- Usar DNS filtering para bloquear dominios de download de cracks e warez
- Regras de detecção: consultar [[m1038-execution-prevention|M1038 - Prevenção de Execução]] e [[m1017-user-training|M1017 - Treinamento de Usuarios]]
## Referências
- [SpyCloud - Infostealer Market 2024 Report](https://spycloud.com/blog/infostealer-malware-trends/)
- [Group-IB - Infostealer Trends Annual Report 2024](https://www.group-ib.com/resources/research-hub/)
- [ANY.RUN - RisePro Malware Trends](https://any.run/malware-trends/risepro)
- [Cyfirma - RisePro Stealer Analysis](https://www.cyfirma.com/research/risepro-stealer/)
- [SEKOIA.IO - RisePro Infostealer Profile](https://blog.sekoia.io/risepro-stealer-similar-to-vidar-distributed-by-privateloader/)