I ricercatori descrivono la piattaforma malware QuimaRAT basata su Java per Windows, Linux e macOS

I ricercatori di cybersicurezza hanno identificato un nuovo trojan di accesso remoto chiamato QuimaRAT, scritto in Java e progettato per operare su sistemi Windows, Linux e macOS. Secondo un’analisi di LevelBlue, il malware viene venduto come offerta malware-as-a-service, con prezzi degli abbonamenti che vanno da 150 dollari per un mese di accesso a 1.200 dollari per una licenza a vita.

I ricercatori affermano che QuimaRAT è sviluppato come una piattaforma modulare in grado di caricare plugin crittografati dalla propria infrastruttura di comando e controllo. L’operatore pubblicizza inoltre un builder in grado di generare diversi tipi di file, tra cui JAR, EXE, APP, SH, BAT e VBS, suggerendo che il servizio sia pensato per supportare vari metodi di distribuzione e diversi ambienti delle vittime.

Funzionalità della piattaforma e della distribuzione

Oltre al RAT principale, il venditore promuove un piccolo toolkit con il nome Quima, che include un builder, un loader e un dropper. Un componente degno di nota utilizza una tecnica di distribuzione tramite la cache del browser: la vittima visita una pagina di destinazione, il payload viene memorizzato nella cache del browser e un piccolo file separato viene scaricato per recuperare ed eseguire in seguito il malware memorizzato nella cache. Le pagine della campagna possono mascherarsi da esche comuni, come verifiche CAPTCHA o richieste di aggiornamento del software.

• Supporto multipiattaforma per Windows, Linux e macOS
• Prezzi basati su abbonamento con diversi livelli
• Plugin modulari distribuiti dai server C2
• Meccanismi di persistenza adattati a ciascun sistema operativo

Secondo LevelBlue, la base di codice sembra essere un progetto Java compilato con Apache Maven e include librerie native tramite Java Native Access per interagire con funzioni di basso livello del sistema operativo. Il malware verifica inoltre la presenza di istanze già in esecuzione, utilizza un file di blocco per evitare esecuzioni duplicate e può tentare di rilevare ambienti sottoposti a sandbox o virtualizzati.

Una volta attivo, QuimaRAT può mantenere la persistenza tramite chiavi di registro, attività pianificate, cartelle di avvio automatico, file di avvio automatico di Linux, voci cron e LaunchAgent di macOS. Può comunicare con i propri operatori tramite TCP, WebSocket, TLS o HTTPS e include un meccanismo watchdog per ristabilire la connessione in caso di interruzione.

Le funzionalità del malware includono l’esecuzione remota di comandi, il trasferimento di file, la manipolazione degli appunti, il furto di credenziali, l’accesso alla webcam e la distribuzione di plugin. I ricercatori hanno inoltre rilevato il supporto all’esecuzione di shellcode fileless su Windows e segnali di offuscamento volti a rendere più difficile il rilevamento statico.