SeroXen RAT: una nueva amenaza sin archivos
Los analistas de seguridad están monitoreando actualmente un troyano emergente de acceso remoto (RAT) sin archivos llamado SeroXen, diseñado para ser más astuto que numerosos sistemas EDR. SeroXen es en realidad una versión modificada de una herramienta legítima de administración remota conocida como Quasar, que se ha utilizado durante varios años, pero también ha sido mal utilizada por ciertos grupos de APT en el pasado. Ha estado circulando durante algunos meses y está disponible para su compra en varias plataformas, incluidas las redes sociales y los foros de piratería, por una tarifa mensual de $ 30.
Los expertos de AT&T Alien Labs han estado estudiando y evaluando diligentemente SeroXen RAT y han descubierto que actualmente logra evadir la detección de todo el software antimalware en Virus Total. Esto se debe principalmente a su capacidad para permanecer indetectable cuando se analiza estáticamente. La RAT está oculta dentro de un archivo por lotes ofuscado de PowerShell, que normalmente varía en tamaño entre 12 y 14 megabytes. El gran tamaño del archivo a menudo disuade a ciertos programas antivirus de realizar un análisis exhaustivo y, en consecuencia, eluden los mecanismos de detección.
Aunque la muestra específica mencionada no ha provocado ninguna detección en Virus Total, algunas reglas Sigma de colaboración colectiva han identificado sus actividades como sospechosas. SeroXen plantea un desafío mayor para las soluciones antivirus, ya que es un malware sin archivos que opera únicamente en la memoria, empleando múltiples rutinas de descifrado y descompresión. Además, su rootkit carga una copia nueva de ntdll.dll, lo que dificulta aún más que los sistemas de detección y respuesta de puntos finales (EDR), que dependen de conectarse a esta biblioteca para detectar inyecciones de procesos, identifiquen la presencia de la RAT.
Capacidades y métodos de distribución de SeroXen
Por lo general, los atacantes distribuyen SeroXen RAT a través de correos electrónicos de phishing o canales de Discord. El malware inicia la descarga de un archivo ZIP aparentemente inofensivo, junto con un archivo por lotes oculto que se ejecuta automáticamente. Después de una serie de pasos intermedios, la carga útil final consta de dos arreglos .NET, uno de los cuales funciona como rootkit y posee varias capacidades, como persistencia sin archivos, inyección de procesos en memoria, evasión de EDR y enganche de funciones.
Dado que SeroXen se basa en QuasarRAT, el servidor de comando y control (C&C) empleado por los actores de amenazas emplea el mismo nombre común en su certificado TLS. Las funcionalidades que ofrece el servidor C&C se asemejan mucho a las que se encuentran en el repositorio Quasar Github, incluida la compatibilidad con flujos de red TCP (tanto IPv4 como IPv6), serialización de red eficiente, compresión utilizando QuickLZ y comunicación segura a través del cifrado TLS, según lo declarado por los investigadores. .
