SolarMarker RAT
O SolarMarker é um Trojan de Acesso Remoto (RAT) escrito no Microsoft .NET framework. O mesmo foi rastreado sob vários nomes diferentes, incluindo Jupyter, Yellow Cockatoo e Polazert. O objetivo principal e a funcionalidade central do SolarMarker é atuar como um backdoor, por meio do qual o autor dessa ameaça específica pode escalar o ataque, entregando uma carga útil de malware em estágio final no sistema infectado. O SolarMarker tem sido usado em várias operações ameaçadoras, pois sua versatilidade permite que diferentes grupos de hackers implantem cargas úteis de acordo com as suas necessidades específicas.
O SolarMarker pode buscar e executar um Trojan de próximo estágio, capaz de sequestrar credenciais de banco on-line da empresa comprometida ou de um ladrão de informações capaz de coletar contas de usuários e credenciais de e-mail. Essas informações privadas podem então ser usadas pelos cibercriminosos para mover-se lateralmente na rede, espalhar a infecção por malware em sistemas adicionais ou obter acesso mais profundo a dados corporativos privados. A implantação de um ransomware em um nível corporativo também viu um aumento proeminente entre os círculos de hackers, pois eles podem bloquear todas as operações da entidade violada de forma eficaz e exigir o pagamento de uma grande quantia em dinheiro.
Milhares de Sites Hospedados pelo Google Divulgam o SolarMarker RAT
A última campanha de ataque envolvendo o SolarMarker RAT mostra um nível significativo de sofisticação. O ator da ameaça por trás das operações configurou 100.000 domínios ameaçadores hospedados pelo Google. As páginas que divulgam o SolarMarker usam termos de negócios e palavras-chave populares, como vários formulários e modelos, incluindo recibos, faturas, currículos, questionários e outros. Ao usar esses termos comuns em conjunto como parte de uma estratégia de SEO (Search Engine Optimization), os cibercriminosos podem contar com os próprios robôs rastreadores da Web do Google para classificar os sites corrompidos em uma classificação elevada e colocá-los nos primeiros resultados exibidos aos usuários.
Os usuários desavisados pensarão que estão abrindo o formulário de documento ou o modelo de que precisam. No entanto, em vez disso, eles estarão executando um binário que inicia a cadeia de instalação do SolarMarker RAT. Para mascarar ainda mais sua presença, a ameaça de backdoor tem vários aplicativos de engodo, como - docx2rtf.exe, Expert_PDF.exe e photodesigner7_x86-64.exe. Um dos últimos a ser usado pela ameaça é chamado de leitor Slim PDF.
