Remcos RAT: Como Proteger Seus Dispositivos de Ataques de Phishing e Malware

A segurança cibernética é uma preocupação crescente, especialmente com a evolução de ameaças como o Remcos RAT. Atores maliciosos reformularam esta ferramenta de acesso remoto, empacotando seu código malicioso em várias camadas de diferentes linguagens de script, incluindo JavaScript, VBScript e PowerShell, para evitar detecções e análises, além de assumir o controle total de dispositivos Microsoft Windows.

Novas descobertas do pesquisador da Fortinet, Xiaopeng Zhang, alertam os usuários do Microsoft Windows sobre uma nova campanha que utiliza essa versão aprimorada do Remcos RAT. O malware explora a vulnerabilidade conhecida de execução remota de código (RCE) relacionada ao modo como instâncias não corrigidas do Microsoft Office e do WordPad analisam arquivos.

A cadeia de ataque inicia com um e-mail de phishing, que procura atrair os usuários a clicarem em um arquivo Excel disfarçado. Uma vez ativado, o arquivo explora a falha (CVE-2017-0199) para baixar a carga maliciosa, destacando a importância crucial da atualização de patches em software antigo.

Nova Versão do Remcos Evita Análises com Técnicas de Evasão

De acordo com Xiaopeng Zhang, “Seu código é envolto em múltiplas camadas, utilizando diferentes linguagens de script e métodos de codificação, como JavaScript, VBScript, Base64 e PowerShell, para proteger-se de detecções e análises.” Quando o arquivo .exe (dllhost.exe) baixado é iniciado, ele extrai um conjunto de arquivos na pasta %AppData%, onde algumas informações chave estão escondidas.

A partir desse ponto, o host executa um código PowerShell fortemente ofuscado, que só funciona no processo PowerShell de 32 bits. O malware executa um código de auto-descriptografia escondido sob um ninho de código desnecessário, utilizando técnicas de evasão, como a instalação de um manipulador de exceções vetorizado e chamadas de APIs do sistema de maneira inconsistente.

Esse método inclui o uso da função ZwSetInformationThread() para verificar a presença de depuradores. Zhang destaca que o código malicioso chama a API ZwSetInformationThread() com o argumento ThreadHideFromDebugger (0x11). Isso permite ocultar threads dos depuradores e, caso um depurador esteja anexado, o malware sai imediatamente assim que a API é chamada.

Além disso, o Remcos RAT utiliza uma técnica de hooking de API para evitar detecções, simulando a execução de múltiplas instruções de API antes de pular para a API e executar as instruções restantes. Se as condições de detecção forem acionadas, o processo atual pode ficar sem resposta ou travar.

Uma vez preparado, os atores de ameaça baixam um arquivo criptografado com a versão maliciosa do Remcos RAT, que é executado diretamente na memória do processo ativo, tornando essa variante sem arquivo, ou fileless malware.

Defesa Contra Ameaças Cibernéticas com Atualizações e Treinamento

O Remcos RAT coleta informações básicas do dispositivo da vítima e as criptografa, enviando-as para seu servidor C2. A consciência sobre o phishing de baixo nível e a engenharia social continua a ser uma forma crítica de proteção contra ameaças cibernéticas em 2024.

Darren Guccione, CEO da Keeper Security, destaca que prevenir ataques requer uma combinação de defesas técnicas e conscientização dos funcionários. Reconhecer sinais de alerta, como remetentes incomuns e anexos suspeitos, é vital para reduzir erros. Treinamentos regulares e segurança robusta capacitam os funcionários a atuarem como a primeira linha de defesa.

A segurança de endpoints deve ser uma prioridade. A gestão de patches é fundamental, com a atualização regular do Microsoft Office e implementação de soluções avançadas de segurança de e-mail para detectar e bloquear anexos maliciosos em tempo real. A detecção e resposta a comportamentos suspeitos do PowerShell são essenciais para proteger dispositivos e rede.

Não perca o próximo Evento Virtual da Dark Reading: “Conheça Seu Inimigo: Entendendo Cibercriminosos e Atores de Ameaças Estatais”, no dia 14 de novembro às 11h ET.

Técnicas Avançadas de Evasão Utilizadas pelo Remcos RAT

Para enfrentar a ameaça representada pelo Remcos RAT, é essencial compreender as diversas técnicas de evasão que esse malware emprega para evitar detecção e persistir nas máquinas infectadas. Este artigo irá explorar em profundidade essas táticas de evasão, detalhando a ofuscação de código, o uso de hooks de API, execuções em memória, mecanismos de persistência e as comunicações com servidores de comando e controle (C2).

Ofuscação de Código

Um dos métodos mais comuns utilizados pelo Remcos RAT é a ofuscação de código. Essa técnica tem como objetivo dificultar a análise e a identificação do malware pelos ferramentas de segurança. Ele pode ser implementado de várias maneiras:

• Injeção de Processo e Esvaziamento de Processo: O malware é executado em processos legítimos do sistema. Essa técnica contribui para que as atividades maliciosas sejam mascaradas entre as operações normais, criando um desafio significativo para detetores de malware. Ao injetar código malicioso em processos existentes, torna-se extremamente complicado distinguir entre o que é legítimo e o que é malicioso.
• Mecanismos de Ofuscação Avançados: O Remcos RAT pode empregar motores de ofuscação, como o BatCloak, que permite contornar métodos tradicionais de detecção de antivírus. Por meio de um processo em várias etapas, ele decodifica e descompacta o malware, tornando praticamente impossível a detecção, pois cada camada do código está camuflada.

Por conta dessas táticas de ofuscação, reforça-se a importância da atualização de patches em software, especialmente nas aplicações como Microsoft Office, que são frequentemente alvos de ataques utilizando a vulnerabilidade CVE-2017-0199.

Hooks de API

Outra significativa técnica de evasão que o Remcos RAT utiliza é o hook de API. Através dessa técnica, o malware pode interceptar e manipular chamadas do sistema operacional de maneira sutil e altamente eficiente:

• Interceptação de Chamadas do Sistema: O malware é capaz de monitorar e controlar interações com o sistema operacional, capturando informações e realizando ações maliciosas sem ser detectado. Isso inclui atividades como a captura de teclas pressionadas e o acesso a arquivos sensíveis.
• Manipulação Controlada: A instalação de hooks permite que o Remcos RAT colete dados de maneira furtiva, garantindo que qualquer informação valiosa seja enviada de volta ao servidor C2 sem chamar a atenção de sistemas de segurança.

Esses métodos tornam a detecção do Remcos RAT extremamente desafiadora, uma vez que ele opera como um intruso capaz de realizar atividades maliciosas enquanto parece estar apenas utilizando o sistema em processos normais.

Execuções em Memória

A técnica de execução em memória é uma das mais sofisticadas utilizadas pelo Remcos RAT. Através dela, o malware consegue operar totalmente dentro da memória RAM, evitando a geração de arquivos maliciosos no sistema de arquivos:

• Evitar Detecção: A ausência de vestígios no disco rígido significa que as soluções tradicionais de segurança são incapazes de detectar o malware, já que ele não deixa arquivos característicos que poderiam ser sinalizados como perigosos.
• Operação Completa na Memória: O Remcos RAT é frequentemente projetado para executar suas rotinas de forma autônoma na memória, aproveitando as vulnerabilidades de processos já ativos no sistema operacional.

Essas execuções em memória representam uma camada adicional de complexidade quando se busca uma estratégia eficaz para erradicar o Remcos RAT de um sistema comprometido.

Mecanismos de Persistência

Além de sua evasão, o Remcos RAT emprega diferentes mecanismos de persistência para garantir que ele continue ativo mesmo após a reinicialização do sistema:

• Instalação em Locais Críticos: O malware pode se inscrever em localidades do Registro do Windows ou criar tarefas agendadas, assegurando que ele será executado uma vez que o sistema é iniciado. Isso representa um obstáculo significativo para quem busca remover o malware completamente.
• Redefinição Automática: Após uma reinicialização, o Remcos RAT automaticamente se restabelece, garantindo que sua presença no sistema permaneça intacta. Essa habilidade de retornar a condições operacionais mesmo após uma tentativa de remoção demonstra a sofisticação dos métodos de persistência utilizados por esse malware.

Criptografia e Comunicação com Servidores C2

Por último, a comunicação entre o Remcos RAT e seus servidores de comando e controle (C2) é uma área crucial onde técnicas avançadas de evasão são implementadas:

• Criptografia de Dados: O tráfego de comunicação é frequentemente criptografado, dificultando a interceptação e a análise do que é transmitido entre o malware e os servidores C2. Esse fato complica ainda mais os esforços de detecção.
• DNS Distribuído: O uso de múltiplos domínios para servidores C2 torna a tarefa de bloquear o acesso mais complicada, especialmente quando esses domínios mudam frequentemente. Essa estratégia de evasão torna a identificação de ameaças uma tarefa extremamente desafiadora.

Essas táticas combinadas fazem do Remcos RAT uma significativa ameaça cibernética. Atuar contra essa intrusão maliciosa não é apenas uma questão de identificação do malware, mas sim de uma abordagem holística que inclui a conscientização dos usuários, atualizações regulares de software e a implementação de soluções de segurança avançadas.

Para proteger efetivamente os sistemas contra o Remcos RAT e suas táticas engenhosas de evasão, é crítico que as organizações adoptam práticas robustas de segurança cibernética, tais como treinamento para reconhecer ataques de phishing e o gerenciamento cuidadoso de patches de software.

Impacto do Malware Fileless na Segurança Cibernética

O uso crescente de malware fileless, como o Remcos RAT, apresenta significativas implicações para a segurança cibernética. Este tipo de malware é especialmente interessante para os cibercriminosos devido à sua habilidade de operar sem deixar traços nos sistemas, tornando a detecção e a resposta a ataques uma tarefa árdua para as equipes de segurança. A natureza stealthy deste malware dá aos atacantes uma vantagem considerável em ambientes corporativos.

O Remcos RAT é um exemplo notório, que utiliza a vulnerabilidade CVE-2017-0199 para explorar sistemas vulneráveis. Essa técnica é frequentemente empregada em campanhas de phishing que enganam os usuários para que abram arquivos maliciosos disfarçados de documentos legítimos. Uma vez ativado, o malware consegue obter acesso remoto ao sistema da vítima e iniciar sua cadeia de ataque.

É fundamental entender as técnicas de evasão empregadas por esses tipos de malware. O uso de JavaScript, VBScript e PowerShell como camadas de obfuscação é uma das estratégias que dificultam a análise e a detecção. A combinação dessas linguagens de script permite que o malware evite as detecções convencionais que se baseiam em assinaturas, tornando-o um desafio significativo para a segurança informacional.

Características e Técnicas de Evasão

Exploitação de Vulnerabilidades

O Remcos RAT é especialmente habilidoso ao explorar vulnerabilidades conhecidas em aplicações populares como o Microsoft Office. A CVE-2017-0199, uma vulnerabilidade de execução remota de código (RCE), é frequentemente usada nas campanhas de phishing. Os ataques começam tipicamente com um e-mail que contém um arquivo Excel disfarçado, que, quando aberto, baixa a carga maliciosa.

#RemcosRAT #CVE20170199 #Phishing #Malware #AcessoRemoto #MicrosoftOffice #SegurançaCibernética #FilelessMalware #ExecuçãoRemotaDeCódigo #TécnicasDeEvasão #AtualizaçãodePatches #alegon #cryptoalch