Remcos RAT: Amenințarea Fileless Malware care Ocolește Soluțiile Antivirus prin Scripturi PowerShell

În acest material o să discutăm despre Remcos RAT, un alt „virus” de tip fileless malware (malware fără fișiere).

Într-o nouă campanie de atacuri cibernetice, cercetătorii în securitate au descoperit o variantă avansată a malware-ului Remcos RAT, care utilizează tehnici fileless pentru a evita detectarea de către soluțiile antivirus tradiționale.

Acest atac sofisticat se bazează pe scripturi PowerShell și metode de evitare a mecanismelor de securitate integrate în Windows, precum AMSI și ETW.

Ce este Remcos RAT?

Remcos (Remote Control & Surveillance) este un instrument comercial de administrare la distanță, care, deși a fost creat pentru scopuri legitime, a fost adoptat de atacatori pentru activități malițioase.

Acesta permite controlul complet al unui sistem infectat, inclusiv colectarea de date sensibile, înregistrarea tastelor apăsate, capturarea ecranului și activarea camerei sau microfonului.

Cum începe atacul: De la Email la Execuție Fileless

Atacul începe cu un email de tip phishing, care conține un fișier arhivat (ZIP sau RAR) ce include un script VBScript (VBS) puternic ofuscat. La executare, acest script creează un fișier batch în folderul temporar al utilizatorului, care, la rândul său, lansează un script PowerShell.

Scriptul PowerShell descarcă și execută un alt script de pe un server controlat de atacatori, folosind comanda iwr -UseBasicParsing. Acest script suplimentar este responsabil pentru ocolirea AMSI (Antimalware Scan Interface) și ETW (Event Tracing for Windows), două mecanisme de securitate esențiale în Windows.

Tehnici de Evitare a Detectării

Pentru a evita detectarea, atacul utilizează mai multe tehnici avansate:

• Ofuscarea codului: Scripturile sunt împărțite în segmente codificate Base64, care sunt apoi decodate și decriptate în timpul execuției;
• Decriptare AES în modul CBC: Datele codificate sunt decriptate folosind algoritmul AES în modul CBC, urmat de decomprimare Gzip;
• Execuție în memorie (fileless): Payload-ul final, un assembly MSIL, este executat direct în memorie folosind funcții PowerShell, fără a fi salvat pe disc.

Persistență și Control

După infectare, Remcos RAT stabilește o conexiune cu un server de comandă și control (C2), permițând atacatorilor să execute comenzi, să exfiltreze date și să mențină persistența pe sistemul compromis.

Pentru a asigura persistența, malware-ul adaugă intrări în registrul Windows, care lansează scripturi PowerShell la fiecare pornire a sistemului.

Măsuri de protecție pentru infrastructura de la birou

Folosiți o soluție antivirus avansată

Alegeți un antivirus cu detecție comportamentală, protecție în timp real și firewall integrat. Ideal ar fi să poată fi administrat centralizat.

Instalați un firewall hardware dedicat

Un firewall hardware adaugă un nivel suplimentar de protecție, blochează atacurile externe și permite control detaliat asupra traficului de rețea.

Implementați o strategie eficientă de backup

Faceți backup regulat, automatizat, atât local cât și în cloud. Testați periodic copiile pentru a vă asigura că pot fi restaurate.

Actualizați constant sistemele de operare

Instalați toate patch-urile de securitate la timp pentru a preveni exploatarea vulnerabilităților cunoscute.

Descărcați aplicații doar din surse de încredere

Evitați instalarea de software din surse necunoscute. Limitați accesul la instalare și folosiți liste de aplicații aprobate.

Concluzie

Această variantă fileless a Remcos RAT reprezintă o amenințare semnificativă, datorită capacității sale de a ocoli soluțiile de securitate tradiționale și de a opera complet în memorie.

Adoptarea unor măsuri de securitate solide nu mai este opțională, ci o necesitate pentru orice companie care lucrează cu date sensibile sau are activitate online constantă. Atacurile cibernetice devin tot mai sofisticate, iar prevenția este mereu mai eficientă decât remedierea.

Dacă aveți nevoie de ajutor pentru implementarea sau îmbunătățirea securitații IT a companiei, vă stăm la dispoziție.

Zemernett este o companie de prestări servicii IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să propună soluții tehnice personalizate după nevoile clienților, punând activ umărul la dezvoltarea IT a companiilor client.