Programari maliciós ResolverRAT

Els investigadors de ciberseguretat han identificat un troià d'accés remot sofisticat anomenat ResolverRAT, que s'utilitza activament en atacs dirigits als sectors sanitari i farmacèutic. Aquest programari maliciós recentment descobert suposa un risc greu a causa del seu comportament sigilós i els seus complexos mecanismes d'infecció.

Tàctiques de pesca: la por com a arma

La campanya comença amb correus electrònics de pesca que indueixen por, dissenyats per empènyer els destinataris a fer clic urgentment en un enllaç maliciós. Aquests esquers sovint fan referència a problemes legals o violacions dels drets d'autor, dissenyats per crear pànic i provocar una reacció precipitada. Un cop fet clic, l'enllaç condueix a la descàrrega d'un fitxer que inicia la cadena d'infecció ResolverRAT.

Engany específic de la regió

Un element destacat d'aquesta campanya és l'ús de contingut de pesca localitzat. Els correus electrònics s'escriuen en els idiomes natius de les regions de destinació (hindi, italià, txec, turc, portuguès i indonesi), destacant la intenció dels atacants d'augmentar l'èxit de la infecció mitjançant l'adaptació específica de la regió.

Mecànica de la infecció: una reacció en cadena furtiva

ResolverRAT utilitza la càrrega lateral de DLL per iniciar la seva cadena d'infecció. La primera etapa utilitza un carregador a la memòria per desxifrar i executar la càrrega útil principal, que està xifrada, comprimida i mai escrita al disc. Aquestes tècniques permeten que no sigui detectat per les eines de seguretat tradicionals.

Resiliència a través de la redundància

Aquest programari maliciós no només es basa en el sigil, sinó que està creat per a la supervivència. ResolverRAT utilitza un procés d'arrencada en diverses etapes amb mecanismes de persistència redundants, incrustant-se en diverses ubicacions del sistema de fitxers i del registre de Windows. Això garanteix que, fins i tot si s'elimina part del programari maliciós, es pot restablir.

Infraestructura C2 avançada: amagat a la vista

Un cop actiu, ResolverRAT inicia l'autenticació basada en certificats per comunicar-se amb el seu servidor d'ordres i control (C2), evitant la validació de l'autoritat arrel. Fins i tot inclou la rotació d'IP per canviar els servidors C2 si es desactiva un, cosa que complica encara més els esforços de detecció i retirada.

Domini de l’evasió: invisible però present

Per mantenir-se sota el radar, ResolverRAT aprofita la fixació de certificats, l'ofuscament del codi font i els patrons de balises irregulars. Aquests mètodes no només amaguen la seva presència, sinó que també derroten les tècniques de detecció estàndard utilitzades en sistemes de seguretat.

Exfiltració de dades silenciosa

L'objectiu principal del programari maliciós és rebre ordres del servidor C2 i exfiltrar dades. Divideix de manera intel·ligent els fitxers de dades grans en fragments de 16 KB, reduint el risc de detecció per part de les eines de supervisió de la xarxa.

L’atribució encara no està clara, però sorgeixen patrons

Tot i que la campanya d'atac no s'atribueix, les similituds en la infraestructura, els temes i les tècniques, especialment l'ús de la càrrega lateral de DLL i els esquers de pesca, indiquen un possible enllaç a atacs documentats anteriorment. Aquesta superposició podria indicar una xarxa d'afiliats compartida o una activitat coordinada d'actors d'amenaça.

Conclusió: una amenaça cibernètica persistent i evasiva

ResolverRAT exemplifica la propera generació de programari maliciós: sigil, adaptatiu i resistent. El seu disseny reflecteix una comprensió sofisticada de les defenses modernes de ciberseguretat, cosa que la converteix en una amenaça formidable per a les indústries objectiu i una preocupació d'alta prioritat per als defensors.