Um novo malware, entregue via WhatsApp, está sendo utilizado para implantar um trojan de acesso remoto (RAT) em sistemas Windows, conseguindo acesso a nível SYSTEM. A campanha se inicia com um arquivo ZIP que contém um documento financeiro e um executável chamado Statement.exe. Quando o arquivo é aberto, o malware inicia uma complexa cadeia de execução que transita de um processo de usuário para um serviço do Windows que opera com privilégios de LocalSystem, conforme relatado pelo Gbhackers e o Cybersecuritynews.
A análise realizada pela Morphisec revelou que o malware, denominado VulcanRAT207.A, permite que os operadores remotos coletem dados do sistema, executem comandos, gerenciem arquivos, capturem telas, gravem teclas, criem ou alterem contas locais e implantem mais cargas úteis. O uso de um driver assinado para encerrar processos de segurança selecionados e a criação de uma tarefa agendada que reinicia o RAT com privilégios SYSTEM após uma reinicialização aumentam a gravidade da ameaça, especialmente em organizações que recebem documentos financeiros por meio de aplicativos de mensagens.
O primeiro executável é compactado com NRV2E, dificultando a detecção em verificações estáticas básicas. Após a execução, o loader realiza uma série de verificações para determinar se está operando em um sistema real ou em um ambiente de análise automatizado. Ele avalia espaço em disco, detalhes de exibição, memória, recursos da CPU, logs de eventos, chaves do Registro e marcas de máquinas virtuais, além de implementar verificações de tempo para evitar execução em ambientes lentos, como sandboxes.
O método de injeção PoolParty Variant 7 é utilizado para injetar shellcode de downloader no processo que hospeda o serviço do Windows Task Scheduler. Essa técnica permite que os componentes subsequentes herdem o acesso SYSTEM sem a necessidade de uma nova elevação de privilégios. O shellcode injetado estabelece uma conexão com o endereço IP 61[.]18[.]208[.]27 na porta 8888 e baixa um pacote de implantação na memória, que inclui um utilitário legítimo assinado pela Intel, um vulkan-1.dll malicioso e um contêiner RAT vulkan-1.bin.
A técnica de DLL sideloading é empregada, onde um aplicativo legítimo carrega um DLL controlado pelo atacante que está ao seu lado. Essa abordagem já foi observada em outras campanhas focadas no WhatsApp, como o sequestro de sessões do WhatsApp Web. Antes de estabelecer a persistência, o DLL de implantação tenta instalar o GoFly64.sys, um driver de rede assinado, criando um arquivo e um serviço de driver temporários.
O uso de um driver assinado é crucial, pois permite que o malware atue em nível de kernel. A Morphisec identificou que essa abordagem visa processos associados ao software de segurança Baidu, como bdservicehost.exe e bduserhost.exe, demonstrando a sofisticação do ataque. A combinação de técnicas evasivas e a capacidade de operar sob o contexto de segurança privilegiado tornam essa ameaça particularmente difícil de detectar e mitigar.
O que permanece em aberto é como as organizações podem se proteger contra tais campanhas, especialmente considerando a crescente utilização de aplicativos de mensagens para a troca de documentos sensíveis. A necessidade de conscientização e treinamento em cibersegurança se torna ainda mais evidente à medida que as táticas dos atacantes evoluem.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews