CrystalX RAT, a new sophisticated MaaS malware, combines spyware, data theft, and remote access, allowing attackers to monitor victims. In March 2026, Kaspersky researchers uncovered a Telegram-based campaign promoting a previously unknown malware sold as a MaaS with three subscription tiers. The Trojan offers a wide range of features, including RAT capabilities, data theft, keylogging, […]

Atomic structure analysis of crystalline materials is a paramount endeavor in both chemical and material sciences. This sophisticated technique necessitates not only a solid foundation in crystallogra...

Atomic structure analysis of crystalline materials is a paramount endeavor in both chemical and material sciences. This sophisticated technique necessitates not only a solid foundation in crystallography but also a profound comprehension of the intricacies of the accompanying software, posing a significant challenge in meeting rigorous daily demands. For the first time, we confront this challenge head-on by harnessing the power of deep learning for fully automated routine structure analysis at the full-atom level. To validate the performance of the model, named CrystalX, we employed a data set comprising over 50,000 X-ray diffraction measurements derived from authentic experiments. Under a strict temporal validation scheme that separates training and test data by publication time, CrystalX substantially outperformed the automated baseline and was adept at deciphering intricate geometric patterns. Remarkably, CrystalX revealed that even peer-reviewed publications harbor expert interpretation errors that can evade stringent CheckCIF A/B-level alerts, yet CrystalX adeptly rectifies them. It has already been successfully applied in our day-to-day pipeline, enabling fully automated, human-free structure analysis of newly discovered compounds. Overall, CrystalX marks the beginning of a new era of automating routine structural analysis within self-driving laboratories.

Daily Recap, a cybersecurity news digest, covers malware campaigns like AVrecon and CrystalX, phishing services like EvilTokens and PXA Stealer, and notable incidents such as Hasbro and Drift, plus Go RAT and WhatsApp-based spyware trends. It also notes ongoing vulnerability patches (CVE-2026-20160, CVE-2026-20093, CVE-2026-5281, CVE-2025-53521, CVE-2026-25075, CVE-2026-3502) and law enforcement actions (Uranium Charges) across vendors like Cisco, Google, F5, StrongSwan, and companies including Nissan and Linx Security. #AVrecon #SocksEscort #CrystalX #CrystalRAT #DeepLoad #NoVoice #EvilTokens #PXAstealer #AGEWHEEZE #WhatsAppFakeApp #WhatsAppVBS #CERTUA #DarkSword #Hasbro #Drift #Nissan #LinxSecurity #Depthfirst #Uranium #TornadoCash #Cisco #Google #F5 #StrongSwan #TrueConf

A Kaspersky identificou o CrystalX RAT, malware como serviço em circulação desde janeiro de 2026. O produto é promovido no Telegram e em um canal dedicado no YouTube, com vídeos demonstrando funcional...

Cybersecurity Threat Research 'Weekly' Recap. The weekly roundup highlights supply-chain compromises (Mar 2026), Yurei operator toolkit exposure, multi‑stage TeamPCP attacks, RAT ecosystems such as CrystalX/NetSupport/Resoker/Xloader, DPRK modular malware with TA416 and Kimsuky campaigns, BRICKSTORM in virtualization, EvilTokens phishing, Tycoon 2FA infrastructure, and AI‑platform leaks (Claude Code, ChatGPT/Codex), along with detection and defense updates from Elastic, Microsoft and Validin. #TeamPCP #Yurei #CrystalX #NetSupport #Resoker #Xloader #TA416 #Kimsuky #DPRK #BRICKSTORM #EvilTokens #CocaCola #Ferrari #Tycoon #ClaudeCode #ChatGPT #Codex #BPFDoor #MythicLikho

CrystalX RAT comes with a handful of prankware, allowing hackers to tease their victims as they steal their data.

CrystalX RAT comes with a handful of prankware, allowing hackers to tease their victims as they steal their data.

A Kaspersky identificou o CrystalX RAT, malware como serviço em circulação desde janeiro de 2026. O produto é promovido no Telegram e em um canal dedicado no YouTube, com vídeos demonstrando funcionalidades num modelo de assinatura por níveis. A ferramenta oferece painel acessível e builder com bloqueio geográfico, anti-debugging e detecção de máquina virtual. O código é escrito em Go com semelhanças ao WebRAT, também chamado de Salat Stealer. As cargas são cifradas com ChaCha20 e compactadas com zlib. A comunicação com o C2 ocorre via WebSocket. Os módulos incluem acesso remoto por VNC, keylogger, captura de áudio e vídeo, e um clipper que substitui endereços de carteiras na área de transferência da vítima. O infostealer mira navegadores Chromium, Yandex e Opera, além de Steam, Discord e Telegram. O malware inclui prankware capaz de desativar dispositivos de entrada e exibir notificações falsas, funcionando como distração enquanto os módulos de coleta de dados operam em segundo plano.

CrystalX RAT comes with a handful of prankware, allowing hackers to tease their victims as they steal their data.

CrystalX RAT is a real threat that also trolls a target once installed on their device.

Um novo malware como serviço (MaaS) chamado CrystalX RAT está sendo promovido no Telegram e no YouTube desde janeiro de 2026. Ele possui um modelo de assinatura por níveis, que coloca ferramentas avançadas de acesso remoto e roubo de dados ao alcance de qualquer criminoso disposto a pagar. A descoberta é da Kaspersky. O CrystalX oferece um painel de controle com interface acessível e uma ferramenta de construção automatizada que permite ao operador personalizar os executáveis gerados. As opções incluem bloqueio geográfico, anti-debugging, detecção de máquina virtual e detecção de proxy, que incluem recursos de anti-análise que dificultam a investigação por pesquisadores de segurança. A divulgação em um canal dedicado no YouTube, com vídeos demonstrando funcionalidades, amplia o alcance do MaaS para além dos fóruns criminosos tradicionais. Pesquisadores acreditam que o CrystalX RAT é uma cópia do WebRAT, outro malware conhecido na dark web. Imagem: Kaspersky. Os pesquisadores da Kaspersky identificaram fortes semelhanças com o WebRAT, também conhecido como Salat Stealer. Ambos tem mesmo design de painel, código escrito em Go e um sistema de vendas operado por bots. As cargas úteis geradas são compactadas com zlib e cifradas com ChaCha20, um algoritmo de criptografia de fluxo simétrico que protege o conteúdo em trânsito. A comunicação com o servidor de comando e controle (C2) ocorre via WebSocket. Depois de ser acusado de copiar o WebRAT, seus criadores fizeram uma mudança na identidade visual e nas divulgações do malware, e começaram a chamá-lo de CrystalX RAT. Imagem: Kaspersky. Este é um protocolo que mantém uma conexão persistente e bidirecional com o host infectado. No momento da conexão o CrystalX envia informações do sistema para rastreamento da infecção. ## Coleta de dados em navegadores, apps e carteiras de criptomoedas A Kaspersky identificou que o infostealer do CrystalX está temporariamente desativado enquanto aguarda uma atualização. Esse malware tem como alvo navegadores baseados em Chromium por meio da ferramenta ChromeElevator, além do Yandex e do Opera. A coleta se estende a aplicativos desktop como Steam, Discord e Telegram. O módulo de acesso remoto permite ao operador executar comandos via CMD, um interpretador de linha de comando no Windows, fazer upload e download de arquivos, navegar pelo sistema de arquivos e controlar a máquina em tempo real por VNC integrado. O malware também captura vídeo e áudio do microfone, comportamento característico de spyware. Como tanto o invasor quanto a vítima utilizam a mesma sessão, o painel oferece vários botões para bloquear as entradas do usuário, de modo que o invasor possa realizar as ações necessárias sem impedimentos. Imagem: Kaspersky. O keylogger transmite em tempo real as teclas digitadas pela vítima para o C2. O módulo clipper monitora a área de transferência com expressões regulares para detectar endereços de carteiras de criptomoedas e substituí-los pelos endereços do atacante. Isso inclui redirecionar transferências sem que a vítima perceba a troca. ## Prankware como diferencial O que distingue o CrystalX no mercado de MaaS é um conjunto extenso de recursos de prankware, funcionalidades projetadas para perturbar o uso da máquina infectada. O malware pode alterar o papel de parede e a orientação da tela, remapear os botões do mouse, desativar teclado, mouse e monitor, forçar o desligamento do sistema e exibir notificações falsas. O invasor também pode enviar uma mensagem à vítima, após o que uma janela de diálogo será aberta no sistema, permitindo um bate-papo bidirecional. Além disso, os criminosos conseguem manipular a posição do cursor e ocultar ícones da área de trabalho, a barra de tarefas, o Gerenciador de Tarefas e o executável do Prompt de Comando. Há ainda uma janela de chat que permite comunicação direta entre o operador e a vítima. A Kaspersky aponta dois usos prováveis para esses recursos. O primeiro é mercadológico, uma vez que o apelo lúdico da ferramenta tende a atrair agentes de ameaça com pouca experiência técnica, ampliando a base de clientes do MaaS. Ainda não há maneiras de se proteger, já que pesquisadores não sabem como o malware chega até as vítimas. O segundo é operacional, já que os recursos de prankware podem funcionar como camada de distração enquanto os módulos de roubo de dados executam em segundo plano. Por enquanto, os pesquisadores ainda não descobriram como o CrystalX RAT chega até as vítimas, mas já é certo que ele está afetando dezenas de vítimas. Até o momento, a Kaspersky só identificou tentativas de infecção na Rússia, mas ressalta que o MaaS não tem restrições regionais, o que significa que ele pode atacar pessoas de qualquer país. Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

CrystalX is a new malware-as-a-service promoted on Telegram and YouTube that offers remote access, data theft, keylogging, clipboard hijacking, and a variety of prankware features. Kaspersky links CrystalX to WebRAT (Salat Stealer) and describes a Go-based builder, user-friendly control panel, zlib-compressed ChaCha20-encrypted payloads, WebSocket C2, browser and app infostealers, remote VNC control, audio/video capture, and real-time keylogging. #CrystalX #WebRAT

In March 2026 researchers uncovered an active MaaS campaign promoting CrystalX (initially marketed as Webcrystal/WebRAT) via private Telegram chats and a YouTube channel; the RAT offers a builder and a wide feature set including stealer, keylogger, clipper, remote access, spyware, and extensive prankware. Kaspersky detects it as Backdoor.Win64.CrystalX.*, Trojan.Win64.Agent.*, and Trojan.Win32.Agentb.gen, telemetry shows active development and dozens of victims so far. #CrystalXRAT #Webcrystal