El archivo adjunto de WhatsApp implementa malware que obtiene acceso al SISTEMA en Windows

Se está utilizando un archivo adjunto malicioso de WhatsApp para implementar un troyano de acceso remoto de Windows que puede alcanzar el acceso a nivel SYSTEM, lo que brinda a sus operadores un control profundo sobre las máquinas infectadas. Una vez que el destinatario abre el archivo, el malware inicia una cadena larga y oculta que pasa de un proceso a nivel de usuario a un servicio de Windows que se ejecuta con derechos de LocalSystem.

La payload final, llamada VulcanRAT207.A, brinda a los operadores remotos la capacidad de recopilar datos del sistema, ejecutar comandos, administrar archivos, capturar pantallas, registrar pulsaciones de teclas, crear o cambiar cuentas locales e implementar más cargas útiles. Los analistas de Morphisec identificaron la cadena de malware y describieron cómo se mueve de un archivo adjunto de WhatsApp a una conexión RAT completa basada en WebSocket. El archivo adjunto de WhatsApp implementa malware Este diseño reduce la cantidad de comportamiento sospechoso visible desde un solo archivo y dificulta la investigación. El mismo método ha aparecido en otras campañas centradas en WhatsApp, incluido este informe sobre el secuestro de sesiones web de WhatsApp, donde también se abusó de programas confiables de Windows para cargar malware.

Los informes anteriores de Cyber Security News sobre las cadenas de entrega de malware TA4922 también documentaron el uso de archivos relacionados con Vulkan como vulkan-1.dll y vulkan-1.bin en el ecosistema de malware más amplio. La publicación WhatsApp Attachment Deploys Malware That Gains SYSTEM Access on Windows apareció por primera vez en Cyber Security News.

Consultar publicación original ↗