QuasarRAT

Descrição do QuasarRAT

O QuasarRAT é um Trojan que é uma versão fortemente modificada do projeto de código aberto com o mesmo nome "QuasarRAT" de um programador chamado 'quasar' que possui uma página no Github.com/quasar/QuasarRAT. O software QuasarRAT é promovido como uma Ferramenta de Administração Remota (RAT) para administradores de servidores e gerentes de segurança cibernética no setor público e governamental. As versões limpas e corrompidas do QuasarRAT diferem na forma como são embaladas; a presença de uma camada de ofuscação e o modo de comunicação na rede. O Trojan de acesso remoto do QuasarRAT ou Quasar foi usado em ataques direcionados ao governo dos Estados Unidos da América no início de 2017 e amostras do malware surgiram em outubro de 2017 com novos ataques sendo gravados. Não está claro quem está por trás da ameaça do QuasarRAT, mas seu vetor de ataque parece permanecer o mesmo.

  1. O Trojan Dropper é recebido pelo usuário visado como um anexo de e-mail de phishing. A maioria dos anexos associados ao QuasarRAT aparecem com nomes como "Documento Escaneado", "Gravação de Áudio", "Apresentação" e outros nomes que podem ser interpretados como títulos para documentos do escritório. Os documentos falsos podem ter uma extensão dupla e ser disfarçados como um arquivo seguro usando ícones associados ao Microsoft Office. Por exemplo, o que parece ser um arquivo de texto pode ser intitulado "Relatório HG485.docx.exe" e acionar um prompt de Controle na Conta de Usuário na tela como se opondo ao carregamento do Microsoft Word.
  2. Sabe-se que o Trojan-Dropper extrai uma cópia da ameaça Downeks, que já vimos no passado. O Trojan Dropper Downeks se conecta a um URL codificado e baixa o corpo principal do QuasarRAT.
  3. O QuasarRAT está instalado no sistema e o invasor pode acessar todos os dados salvos no computador e nos armazenadores de dados da rede a ele conectados. Além disso, o invasor pode usar o QuasarRAT para instalar software de terceiros, remover programas, finalizar processos e capturar screenshots.

Isso não descreve todas as operações que o usuário remoto pode executar. Os investigadores de malware acrescentam que os operadores do QuasarRAT podem baixar arquivos, editar o Registro, abrir conexões remotas ao desktop, coletar senhas, carregar páginas da Web, e emitir comandos para o teclado e para o mouse. Os especialistas em segurança cibernética descobriram que a ameaça do QuasarRAT exibe vulnerabilidades em relação à comunicação cliente-servidor. As vulnerabilidades podem ser exploradas e permitirem que o usuário do PC infectado inicie um contra-ataque e instale uma cópia do QuasarRAT nos servidores de "Comando e Controle" potencialmente utilizados pelo primeiro invasor. Não é uma boa idéia remover o QuasarRAT manualmente e tentar contra-ataques se você não for um especialista em segurança do computador. Os usuários regulares de PCs são encorajados a usar uma solução anti-malware respeitável para eliminar o QuasarRAT e bloquear conexões não autorizadas para o sistema.

Informação Técnica

Detalhes Sobre os Arquivos do Sistema

QuasarRAT cria o(s) seguinte(s) arquivo(s):
# Nome do arquivo Tamanho MD5 Contagem da Detecção
1 c:\users\he\appdata\roaming\optigrillss\optigrillst.exe 190,464 59122b93dabdb8d0736adcf7f57f71df 30
2 file.exe 714,216 46d08a8be16768ee32fcbaa8083ea2f0 0

Detalhes sobre o Registro

QuasarRAT cria a seguinte entrada de registro ou entradas de registro:
Directory
%APPDATA%\optigrillss
%APPDATA%\SubDir
%APPDATA%\SubDirr
%WINDIR%\system32\SubDir
%WINDIR%\SysWOW64\SubDir
Regexp file mask
%APPDATA%\rocking.exe
%APPDATA%\K-Mart Corp\K-Mart Corp.exe
%APPDATA%\Microsoft\Windows\Update\Update.exe
%APPDATA%\system\core.exe
%WINDIR%\System32\Tasks\Quasar Client Startup
Registry key
SOFTWARE\Microsoft\Tracing\sschost_RASAPI32
SOFTWARE\Microsoft\Tracing\sschost_RASMANCS
SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Quasar Client Startup
SOFTWARE\Wow6432Node\Microsoft\Tracing\sschost_RASAPI32
SOFTWARE\Wow6432Node\Microsoft\Tracing\sschost_RASMANCS

Isenção de Responsabilida do Site

O Enigmasoftware.com não é associado, afiliado, patrocinado ou de propriedade dos criadores ou distribuidores de malware mencionados neste artigo. Este artigo NÃO deve ser mal compreendido ou confundido como estando associado de alguma forma à promoção ou endosso de malware. Nossa intenção é fornecer informações que instruam os usuários de computador sobre como detectar e finalmente remover malware dos seus computadores com a ajuda do SpyHunter e/ou instruções de remoção manual fornecidas neste artigo.

Este artigo é fornecido "como está" e deve ser usado apenas para fins educacionais. Ao seguir as instruções deste artigo, você concorda em ficar vinculado a esse aviso Legal. Não garantimos que este artigo o ajude a remover completamente as ameaças de malware do seu computador. O spyware muda regularmente; portanto, é difícil limpar completamente uma máquina infectada por meios manuais.

Deixar uma Resposta

Por favor NÃO utilize este sistema de comentários para perguntas sobre pagamentos e suporte. Para solicitações de suporte técnico do SpyHunter, entre em contato diretamente com a nossa equipe de suporte técnico, abrindo um ticket de suporte ao cliente através do seu SpyHunter. Para problemas com pagamento, por favor acesse a página "Problemas ou Perguntas referentes ao Pagamento". Para solicitações genéricas (reclamaçōes, questōes legais, imprensa, marketing, direitos autorais) visite a nossa página "Perguntas e Comentários"n"