New Malware Campaign Delivers Remcos RAT Through Multi-Stage Windows Attack

Opération SHADOW#REACTOR : Camouflage et Persistance avec Remcos RAT

Une nouvelle campagne de malware, baptisée SHADOW#REACTOR, utilise une chaîne d’attaque complexe et évasive sur Windows pour déployer Remcos RAT, un outil d’administration à distance commercial. L’objectif est d’établir un accès à distance discret et persistant. L’opération, de nature opportuniste, vise principalement les environnements d’entreprise et les PME.

Points Clés

• Attaque Multi-étapes Évasive : La campagne se déroule en plusieurs phases, rendant la détection et l’analyse difficiles.
• Utilisation de Stagers Textuels Intermédiaires : Des fichiers texte sont utilisés comme intermédiaire pour transférer des charges utiles, compliquant l’identification statique du malware.
• Exécution en Mémoire : Le code malveillant est reconstruit et exécuté en mémoire, contournant les analyses basées sur les fichiers.
• LOLBin Abuse : L’utilisation de binaires légitimes de Windows comme MSBuild.exe pour exécuter des charges utiles est une technique clé.
• Logiciel Commercial : Remcos RAT, un outil légitime, est utilisé à des fins malveillantes.
• Vise les Entreprises : La campagne cible les organisations, potentiellement pour la revente d’accès aux attaquants.

Vulnérabilités

L’article ne mentionne pas de vulnérabilités spécifiques (avec CVE) exploitées dans les systèmes cibles. L’attaque repose plutôt sur des techniques d’ingénierie sociale pour l’exécution initiale et sur des méthodes d’évasion pour le déploiement du malware.

Recommandations

Bien que l’article se concentre sur la description technique de l’attaque, les techniques utilisées impliquent les recommandations générales suivantes pour la cybersécurité :

• Renforcer la vigilance face à l’ingénierie sociale : Être prudent quant aux liens et aux pièces jointes reçus par e-mail ou d’autres canaux.
• Surveillance des processus légitimes : Mettre en place des outils de détection et de réponse capables de surveiller l’utilisation inhabituelle de binaires système comme wscript.exe et MSBuild.exe.
• Protection des points d’extrémité : Maintenir à jour les solutions de sécurité (antivirus, EDR) et configurer des politiques de sécurité strictes.
• Analyse comportementale : Utiliser des solutions capables de détecter les comportements suspects en mémoire, au-delà des signatures de fichiers traditionnelles.
• Gestion des accès : Implémenter des principes de moindre privilège et une authentification forte.

Source