BISTROMATH

O BISTROMATH RAT (Trojan de Acesso Remoto) é um malware recém-descoberto que parece ser a criação de cibercriminosos norte-coreanos. Os cibercriminosos e os grupos de hackers da Coréia do Norte não tendem a atingir usuários regulares online. Em vez disso, eles geralmente buscam altos funcionários do governo ou grandes empresas.

O malware BISTROMATH possui uma lista de recursos que ajudam a determinar se ele está sendo executado em um ambiente de sandbox ou em um sistema regular. Para descobrir isso, o Trojan BISTROMATH procura:

• Nomes de usuário e nomes de computador que são conhecidos por serem usados por determinados fornecedores de segurança cibernética.
• A presença de ferramentas de software usadas para depuração de malware.
• A presença de artefatos de VM (Máquina Virtual), como endereços MAC, entradas de registro, drivers de sistema, serviços e outros).
• Processos ativos que estão vinculados a vários aplicativos e utilitários de depuração de malware.
• Certas configurações de hardware, que são normalmente usadas no Vms.

Se o BISTROMATH RAT determinar que está sendo executado em um sistema regular e não em uma VM usada para depuração de malware, ele continuará com o ataque como pretendido. O malware BISTROMATH está equipado para executar três tarefas para obter persistência no computador comprometido:

• Copiar o seu executável na pasta de Inicialização do Windows.
• Configurar uma chave do Registro que garanta que a ameaça seja executada sempre que os usuários reiniciarem os seus computadores.
• Criar uma nova tarefa agendada, que a ser executada a cada hora.

Quando a ameaça BISTROMATH ganha persistência no host infectado, ela se conecta ao servidor de C&C (Comando e Controle) dos invasores. Os autores do malware BISTROMATH poderão executar várias tarefas no sistema comprometido, incluindo:

• Coletar arquivos considerados de interesse.
• Coletar dados da área de transferência do usuário.
• Coletar cookies no navegador da Web do usuário.
• Coletar credenciais de login salvas no navegador da Web do usuário.
• Gravar as teclas digitadas pelo usuário.
• Executar comandos remotos.
• Compilar uma lista dos processos ativos.
• Gerenciar os processos ativos.
• Gerenciar serviços do Windows.
• Fazer capturas de tela da área de trabalho do usuário e das janelas ativas.

Os pesquisadores de malware acreditam que o BISTROMATH RAT pode pertencer ao arsenal do grupo de hackers HIDDEN COBRA, também conhecido como Lazarus APT (Ameaça Persistente Avançada). Esse grupo de hackers é uma das organizações de cibercrime mais importantes da Coréia do Norte.