Investigadores han detectado QuimaRAT, un troyano de acceso remoto basado en Java que afecta a Windows, Linux y macOS. Se comercializa como un servicio por suscripción y utiliza una arquitectura modular con plugins cifrados para evadir antivirus. Esta herramienta permite el robo de credenciales, vigilancia por webcam y control total del sistema infectado.

Investigadores de ciberseguridad han alertado sobre un nuevo troyano de acceso remoto (RAT) basado en Java llamado QuimaRAT, que es capaz de atacar entornos de Windows, Linux y macOS.

Según LevelBlue, este malware multiplataforma se comercializa bajo un modelo de malware como servicio (MaaS), con costes que oscilan entre los 150 $ por un mes y los 1.200 $ por acceso de por vida. Otros niveles de suscripción incluyen 300 $ por tres meses, 500 $ por seis meses y 700 $ por doce meses.

"Construido en torno a una arquitectura modular, el RAT soporta la expansión dinámica de capacidades a través de plugins cifrados que pueden entregarse, cargarse, descargarse y actualizarse directamente desde su infraestructura de comando y control (C2)", afirmó la empresa de ciberseguridad en un análisis del malware aquí.

El autor del malware también promociona un constructor capaz de generar múltiples formatos de salida, incluidos JAR, EXE, APP, SH, BAT y VBS, lo que indica un intento de ayudar a los clientes potenciales a empaquetar el cliente adaptado a diferentes entornos y escenarios de entrega.

La publicación del vendedor garantiza un sigilo completo en Windows y Linux, señalando que no hay elementos de interfaz de usuario visibles ni entradas de escritorio. En macOS, sin embargo, el actor de la amenaza incluye la advertencia de que ciertas funciones, como la captura de pantalla y el control de entrada, requieren "permisos de administrador otorgados por el usuario".

Al visitar su sitio web, te recibe un mensaje emergente que indica que la plataforma "proporciona herramientas de seguridad ofensiva destinadas exclusivamente a la investigación profesional de seguridad, pruebas de penetración autorizadas y entornos educativos controlados", advirtiéndote que no la uses para "fines maliciosos, no autorizados o ilegales".

En total, el actor de la amenaza ofrece cuatro herramientas:

* Quima Control (también conocido como QuimaRAT), una herramienta de administración remota con 74 módulos para Windows y 46 para macOS y Linux.
* Quima Builder, un kit de herramientas de construcción y lanzamiento modular con soporte para formatos de archivo XLL, LNK, VBS, JS, BAT, DOCM, XLSM, MSC, CPL y CHM.
* Quima Loader, un servicio de entrega de carga útil en la caché del navegador para preparar y entregar el malware.
* Quima Dropper, un generador de carga útil HTML/SVG.

Quima Loader es particularmente notable, ya que permite a un operador cargar un archivo EXE a través de un panel dedicado y seleccionar un formato de entrega (por ejemplo, HTA o LNK) y una plantilla de página de destino (por ejemplo, un chequeo falso de CAPTCHA o alertas de actualización de software). Después de esto, la herramienta genera un enlace que, al ser abierto por la víctima en el navegador, inicia la siguiente secuencia de acciones, según el desarrollador del malware:

* La página de destino se carga, y la carga útil se obtiene y se mantiene en la caché del navegador.
* Aparece un botón de descarga en la página.
* Al hacer clic, se guarda un "archivo cargador pequeño y limpio" que es confiable para el navegador.
* El objetivo ejecuta el cargador, que lee la carga útil almacenada en caché.
* La carga útil principal se ejecuta en el sistema, evadiendo las protecciones SmartScreen en Windows.

"Un RAT, un conjunto de constructores, un cargador web y un dropper HTML; cada uno construido en torno a lo que Windows ya confía", afirma el autor de la suite Quima en su sitio web. "Rutas de ejecución nativas, recursos propiedad del sistema, salidas limpias. El AV [antivirus] no ve nada inusual. El usuario tampoco".

Análisis de levelblue

El análisis de LevelBlue aquí sugiere que QuimaRAT está organizado como un proyecto Java modular construido con Apache Maven, y contiene librerías nativas Java Native Access (JNA) para Windows, Linux y macOS en varias arquitecturas. También decodifica y analiza un archivo de configuración interno necesario para la validación del entorno, la instalación de la persistencia y la inicialización del C2.

"Estos componentes nativos permiten que el RAT interactúe directamente con las API del sistema operativo de bajo nivel a través de código C/C++, lo que indica un soporte intencionado para un despliegue multiplataforma amplio", dijeron los investigadores Chen Aviani y Nikita Kazymirskyi.

Antes de la ejecución, el malware se asegura de que solo una instancia del troyano se esté ejecutando en la máquina infectada en cualquier momento. Esto lo logra creando un archivo de bloqueo dentro del directorio temporal del sistema operativo y evitando que otros procesos lo utilicen simultáneamente. Si detecta que otra instancia del RAT ya tiene el bloqueo del archivo, termina la ejecución.

QuimaRAT está diseñado para determinar el nombre del sistema operativo actual y usarlo para dictar la siguiente acción, incluyendo la evasión de entornos virtuales y sandboxes, el establecimiento de la persistencia y la entrega de la carga útil principal. Además, soporta la capacidad de ejecutar una carga útil adicional embebida o una aplicación señuelo junto con el proceso principal del RAT si la funcionalidad, llamada Binder, está habilitada en la configuración.

El malware establece la persistencia utilizando una variedad de métodos específicos del sistema operativo: claves de ejecución del Registro, tareas programadas y la carpeta de Inicio para Windows; entradas de autostart .desktop y tareas de reinicio crontab para Linux; y un archivo plist de LaunchAgent para macOS.

Es más, el troyano incorpora un mecanismo opcional de actualización de host C2 basado en Pastebin que se controla a través de la configuración. Este enfoque permite al operador rotar o reemplazar dinámicamente la infraestructura C2 sin tener que reconstruir y redistribuir la carga útil.

El objetivo final de QuimaRAT es establecer comunicación con el servidor C2 a través de TCP (o alternativamente vía WebSocket, TLS y HTTPS) para recibir y ejecutar comandos. Un componente de vigilancia (watchdog) integrado en el malware asegura que el canal permanezca activo y se reconecte si se pierde el contacto con el servidor C2.

"QuimaRAT mantiene un indicador de estado de apagado interno utilizado para controlar si el RAT debe continuar realizando operaciones de red, reconexión, vigilancia y recuperación", dijeron los investigadores. "Este mecanismo permite que QuimaRAT detenga las operaciones de reconexión y recuperación de comunicación una vez que se activa el modo de apagado".

El malware soporta una amplia gama de capacidades, incluyendo la ejecución remota de comandos, entrega remota de cargas útiles y plugins, robo de credenciales, persistencia, transferencia de archivos, manipulación del portapapeles y vigilancia por webcam, otorgando al atacante un control exhaustivo sobre el sistema infectado.

Además de estas características convencionales presentes en la mayoría de los malware RAT, QuimaRAT facilita la ejecución de shellcode sin archivos en hosts Windows y un marco de comunicación resistente que permite el acceso persistente a los hosts comprometidos.

"QuimaRAT debe verse como una plataforma RAT de Java modular en lugar de un único implante estático", dijo LevelBlue. "Los indicadores de ofuscación de clase ProGuard, la relocalización de Maven Shade, los símbolos de tiempo de ejecución preservados y los descifradores de cadenas sintéticas respaldan aún más la evaluación de que QuimaRAT está diseñado para rotar huellas estáticas sin cambiar su comportamiento central".

Fuente:
THN