JelusRAT

JelusRAT est un cheval de Troie d'accès à distance (RAT) qui permet aux cybercriminels de prendre le contrôle clandestin d'ordinateurs compromis. Développé en C++, il utilise un chargeur spécialisé pour déchiffrer et libérer sa charge utile principale. Au lieu de s'installer comme un fichier classique, le logiciel malveillant s'exécute directement en mémoire, réduisant considérablement son empreinte disque et rendant sa détection plus difficile. Si JelusRAT est identifié sur un système, sa suppression immédiate est cruciale pour éviter toute compromission ultérieure.

Le chargeur dissimulé et l'exécution sans fichier

La chaîne d'infection débute par un chargeur se faisant passer pour une application légitime. Ce composant dissimule deux segments chiffrés : l'un contenant le logiciel malveillant principal et l'autre les données de configuration. Une fois activé, le chargeur déchiffre la charge utile principale et l'exécute directement en mémoire système, puis s'autodétruit pour effacer toute trace. Cette technique « sans fichier » est spécifiquement conçue pour contourner les systèmes de sécurité traditionnels et les analyses forensiques.

Gestion de la configuration et tactiques furtives

Après son exécution, le programme principal accède à un fichier de configuration nommé Info.ini pour récupérer ses instructions de fonctionnement. Immédiatement après la lecture du fichier, il le supprime afin de minimiser les traces de l'intrusion. Les données de ce fichier sont obscurcies ; une petite valeur intégrée, située dans le premier octet, est utilisée par le logiciel malveillant pour décoder les instructions avant leur exécution.

Capacités de télécommande et gestion des commandes

JelusRAT est conçu pour recevoir diverses commandes du serveur d'un attaquant. Il peut se déclarer comme processus système critique, ce qui signifie que toute tentative d'arrêt forcé peut provoquer un écran bleu Windows, dissuadant ainsi toute suppression manuelle. Ce logiciel malveillant est également capable de désactiver cette fonction, de modifier sa communication avec son infrastructure de commande et de contrôle, ou de s'arrêter automatiquement sur commande.

Une plateforme modulaire alimentée par des plugins

Plutôt que d'intégrer toutes les fonctions malveillantes, JelusRAT fonctionne principalement comme une plateforme. Il peut télécharger des modules complémentaires sous forme de plugins DLL depuis le serveur de l'attaquant, étendant ainsi ses fonctionnalités à la demande. La plupart de ses capacités sont fournies par ces modules, permettant aux acteurs malveillants d'adapter le logiciel malveillant à différents objectifs sans avoir à redéployer l'intégralité de sa charge utile.

JelusRAT peut être utilisé pour introduire d'autres types de logiciels malveillants, notamment :

• Ransomware, mineurs de cryptomonnaie et outils de vol d'informations
• Des programmes malveillants supplémentaires qui aggravent ou étendent la compromission du système

Pourquoi JelusRAT représente un risque sérieux

JelusRAT se distingue par sa furtivité et sa grande flexibilité. Son exécution en mémoire, son comportement d'autodestruction et sa conception basée sur des plugins lui permettent d'échapper à la détection tout en maintenant un contrôle persistant et adaptable sur les systèmes infectés. Ces caractéristiques le rendent particulièrement dangereux, car il peut facilement servir de plateforme de lancement pour des logiciels malveillants plus destructeurs et des opérations cybercriminelles de grande envergure.

Vecteurs d'infection courants et modes de transmission

Les logiciels malveillants tels que JelusRAT se propagent le plus souvent par ingénierie sociale et pratiques trompeuses en ligne. Les attaquants incitent généralement leurs victimes à exécuter des fichiers malveillants déguisés en contenu légitime, notamment des fichiers exécutables, des scripts et des documents tels que Word, Excel, PDF ou des images ISO. Les campagnes d'infection s'appuient fréquemment sur des courriels d'hameçonnage, de fausses publicités, des arnaques au faux support technique, des logiciels piratés et des sites web compromis pour diffuser ces charges utiles.

Parmi les autres vecteurs de distribution établis figurent les clés USB infectées, les réseaux peer-to-peer, les utilitaires de téléchargement tiers et l'exploitation de failles de sécurité logicielles non corrigées. Dans la plupart des cas, les infections réussies surviennent parce que les utilisateurs sont amenés à effectuer une action qui, à leur insu, permet au logiciel malveillant de s'installer.