El instalador falso de Flash Player utiliza un certificado con temática de Microsoft para implementar AtlasRAT

AtlasRAT se entrega a través de un instalador falso de Flash Player que parece inofensivo pero que puede brindar a los atacantes control remoto de una computadora con Windows. La campaña abusa de un nombre de software familiar para bajar la guardia de la víctima y luego carga gran parte de su código malicioso directamente en la memoria, donde es más difícil de detectar para las comprobaciones tradicionales basadas en archivos.

La amenaza pone de relieve cómo las marcas de software antiguas todavía ayudan a los delincuentes a engañar a los usuarios para que ejecuten archivos dañinos. Campañas similares de instaladores de software falsos han demostrado que los atacantes continúan disfrazando malware como aplicaciones, actualizaciones y descargas confiables porque la táctica sigue siendo efectiva. Los analistas de ASEC identificaron el malware como AtlasRAT, una herramienta de acceso remoto de Windows que utiliza una cadena de carga de cuatro etapas que comienza con una aplicación Delphi disfrazada de AGE Flash Player. ASEC dijo en un informe compartido con Cyber ​​Security News (CSN) que el malware puede comunicarse con sus operadores a través de conexiones cifradas, ejecutar módulos adicionales, capturar pulsaciones de teclas e inyectar código en procesos de WeChat.

El instalador falso de Flash Player utiliza un certificado con temática de Microsoft La infección comienza con FlashPlay.Exe, un programa diseñado para parecerse a un instalador de Flash Player. AtlasRAT utiliza cifrado TLS y ChaCha20 para el tráfico de comando y control, mientras que sus complementos amplían lo que un operador puede hacer en un sistema comprometido.

Consultar publicación original ↗