Des chercheurs détaillent la plateforme de malware QuimaRAT basée sur Java pour Windows, Linux et macOS

Des chercheurs en cybersécurité ont identifié un nouveau cheval de Troie d'accès à distance appelé QuimaRAT, écrit en Java et conçu pour fonctionner sur les systèmes Windows, Linux et macOS. Selon une analyse de LevelBlue, le malware est vendu sous la forme d'une offre de malware-as-a-service, avec des abonnements allant de 150 $ pour un mois d'accès à 1 200 $ pour une licence à vie.

Les chercheurs indiquent que QuimaRAT est conçu comme une plateforme modulaire capable de charger des plug-ins chiffrés depuis son infrastructure de commande et de contrôle. L'opérateur propose également un générateur capable de produire plusieurs types de fichiers, notamment JAR, EXE, APP, SH, BAT et VBS, ce qui laisse penser que le service est conçu pour prendre en charge diverses méthodes de diffusion et différents environnements de victimes.

Fonctionnalités de la plateforme et de la diffusion

En plus du RAT principal, le vendeur fait la promotion d'une petite boîte à outils sous le nom Quima, comprenant un générateur, un chargeur et un dropper. Un composant notable utilise une technique de diffusion via le cache du navigateur : la victime consulte une page d'atterrissage, la charge utile est stockée dans le cache du navigateur, puis un petit fichier distinct est téléchargé afin de récupérer et d'exécuter ultérieurement le malware mis en cache. Les pages de campagne peuvent usurper des leurres courants, tels que des vérifications CAPTCHA ou des invites de mise à jour logicielle.

• Prise en charge multiplateforme de Windows, Linux et macOS
• Tarification par abonnement avec plusieurs niveaux
• Plug-ins modulaires distribués depuis des serveurs C2
• Mécanismes de persistance adaptés à chaque système d'exploitation

Selon LevelBlue, la base de code semble être un projet Java construit avec Apache Maven et comprend des bibliothèques natives via Java Native Access afin d'interagir avec les fonctions de bas niveau du système d'exploitation. Le malware vérifie également si des instances existantes sont en cours d'exécution avant de démarrer, utilise un fichier de verrouillage pour éviter les exécutions en double et peut tenter de détecter les environnements bac à sable ou virtualisés.

Une fois actif, QuimaRAT peut assurer sa persistance au moyen de clés de registre, de tâches planifiées, de dossiers de démarrage, de fichiers d'autodémarrage Linux, d'entrées cron et de LaunchAgents macOS. Il peut communiquer avec ses opérateurs via TCP, WebSocket, TLS ou HTTPS, et intègre un mécanisme de surveillance capable de rétablir la connexion en cas de perte de la liaison.

Les fonctionnalités du malware comprennent l'exécution de commandes à distance, le transfert de fichiers, la manipulation du presse-papiers, le vol d'identifiants, l'accès à la webcam et la diffusion de plug-ins. Les chercheurs ont également relevé la prise en charge de l'exécution de shellcode sans fichier sous Windows, ainsi que des signes d'obfuscation destinés à compliquer la détection statique.