Forscher geben Details zu Java-basierter QuimaRAT-Malware-Plattform für Windows, Linux und macOS bekannt

Cybersicherheitsforscher haben einen neuen Fernzugriffstrojaner namens QuimaRAT identifiziert, der in Java geschrieben ist und für den Betrieb auf Windows-, Linux- und macOS-Systemen entwickelt wurde. Einer Analyse von LevelBlue zufolge wird die Malware als Malware-as-a-Service-Angebot verkauft. Die Abonnementpreise reichen dabei von 150 US-Dollar für einen Monat Zugriff bis zu 1.200 US-Dollar für eine lebenslange Lizenz.

Die Forscher geben an, dass QuimaRAT als modulare Plattform entwickelt wurde, die verschlüsselte Plug-ins aus ihrer Command-and-Control-Infrastruktur laden kann. Der Betreiber bewirbt außerdem einen Builder, der verschiedene Dateitypen erzeugen kann, darunter JAR, EXE, APP, SH, BAT und VBS. Dies deutet darauf hin, dass der Dienst eine Vielzahl von Bereitstellungsmethoden und Opferumgebungen unterstützen soll.

Plattform- und Bereitstellungsfunktionen

Zusätzlich zum eigentlichen RAT bewirbt der Verkäufer ein kleines Toolkit unter dem Namen Quima, das einen Builder, einen Loader und einen Dropper umfasst. Eine bemerkenswerte Komponente nutzt eine über den Browser-Cache erfolgende Bereitstellungstechnik: Ein Opfer besucht eine Landingpage, die Payload wird im Browser-Cache gespeichert, und anschließend wird eine separate kleine Datei heruntergeladen, um die zwischengespeicherte Malware zu einem späteren Zeitpunkt abzurufen und auszuführen. Die Kampagnenseiten können gängige Täuschungsmittel wie CAPTCHA-Prüfungen oder Aufforderungen zu Software-Updates imitieren.

• Plattformübergreifende Unterstützung für Windows, Linux und macOS
• Abonnementbasierte Preisgestaltung mit mehreren Stufen
• Modulare Plug-ins, die von C2-Servern bereitgestellt werden
• Auf die jeweiligen Betriebssysteme zugeschnittene Persistenzmechanismen

Nach Angaben von LevelBlue scheint die Codebasis ein mit Apache Maven erstelltes Java-Projekt zu sein und bindet über Java Native Access native Bibliotheken ein, um mit betriebssystemnahen Funktionen zu interagieren. Die Malware prüft außerdem vor der Ausführung, ob bereits Instanzen vorhanden sind, verwendet eine Sperrdatei, um eine doppelte Ausführung zu verhindern, und kann versuchen, Sandbox- oder virtualisierte Umgebungen zu erkennen.

Nach der Aktivierung kann QuimaRAT Persistenz über Registrierungsschlüssel, geplante Aufgaben, Startordner, Linux-Autostart-Dateien, Cron-Einträge und macOS-LaunchAgents aufrechterhalten. Die Kommunikation mit den Betreibern kann über TCP, WebSocket, TLS oder HTTPS erfolgen. Zudem verfügt die Malware über einen Watchdog-Mechanismus, der bei einem Verbindungsverlust eine erneute Verbindung herstellt.

Zu den Funktionen der Malware gehören die Ausführung von Befehlen aus der Ferne, die Übertragung von Dateien, die Manipulation der Zwischenablage, der Diebstahl von Zugangsdaten, der Zugriff auf Webcams und die Bereitstellung von Plug-ins. Die Forscher stellten außerdem eine Unterstützung für die dateilose Shellcode-Ausführung unter Windows sowie Anzeichen für eine Verschleierung fest, die die statische Erkennung erschweren soll.