AvéMariaRAT
Les chercheurs en cybersécurité ont réussi à découvrir une campagne de courrier indésirable malveillant fournissant des pièces jointes militarisées. Les e-mails leurres de l'opération ont été présentés aux utilisateurs comme des notifications importantes concernant un rapport de paiement récent. Les messages ont tenté de se faire passer pour avoir été envoyés par des sources fiables. Cependant, le fichier Excel Add-In (.xlam) joint contient des macros malveillantes qui sont déclenchées lors de l'exécution. L'objectif des attaquants est de fournir trois menaces RAT (chevaux de Troie d'accès à distance ) sans fichier - AveMariaRAT, PandorahVNC RAT et BitRAT, sur l'appareil de la victime. Des détails sur le vecteur d'infection initial et les menaces transmises ont été révélés au public dans un rapport de sécurité de Fortinet.
La menace AveMariaRAT est un logiciel malveillant puissant qui permet aux acteurs de la menace d'établir le contrôle de l'appareil piraté et d'effectuer de nombreuses actions intrusives. Il s'agit de la première des trois menaces RAT identifiées à être déposées sur la machine de la victime en étant injectée dans un processus fraîchement créé nommé « aspnet_compiler.exe ». La menace est équipée de plusieurs indicateurs de commutateur qui peuvent modifier s'il s'ajoute au groupe d'exécution automatique, tente de contourner l'UAC (contrôle de compte d'utilisateur) de Windows ou contourne Windows Defender.
AveMaria établit une connexion avec un serveur Command-and-Control (C2, C&C) avec la communication entre les deux étant cryptée RC4. Une fois bien installé sur le système, le RAT offre de nombreuses options à ses opérateurs. Les acteurs de la menace peuvent activer le shell distant, le VNC (Virtual Network Computing) distant, manipuler le système de fichiers, contrôler la webcam, activer une routine d'enregistreur de frappe à distance, élever leurs privilèges sur l'appareil, etc.
La fonction de gestion des mots de passe d'AveMariaRAT peut essayer de voler les informations d'identification de compte à partir d'un large éventail d'applications ciblées, y compris les navigateurs Web populaires tels que Chrome, Edge, le navigateur Epic Privacy, Tencent QQBrowser, Opera, Brave, Vivaldi, etc. En outre, cela peut avoir un impact sur divers clients de messagerie, notamment MS Outlook, Microsoft Messaging, Tencent Foxmail, etc.
