VBA RAT llega a las víctimas a través del manifiesto pro-Crimea
Se ha utilizado una nueva pieza de malware en la batalla cibernética en curso entre Rusia y Ucrania por el conflicto de Crimea. La nueva amenaza, denominada VBA RAT, se envía a través de correos electrónicos de phishing, que contienen un documento con macros. El documento señuelo es un manifiesto llamado ' Манифест.docx '. El documento parece venir en dos variaciones, que utilizan técnicas ligeramente diferentes para ejecutar una carga útil integrada: VBA RAT.
El objetivo del troyano es recopilar información sobre el sistema comprometido, así como interactuar con el sistema de archivos. Sus operadores pueden ordenar al implante que elimine archivos, cargue / descargue archivos y verifique qué software antivirus se está ejecutando en la máquina de la víctima. Uno de los hallazgos interesantes relacionados con la campaña VBA RAT es que los atacantes están utilizando un exploit de Internet Explorer, que anteriormente fue empleado por Lazarus Hacking Group . Sin embargo, es muy poco probable que los actores de amenazas detrás de VBA RAT tengan algo en común con el infame Lazarus APT.
VBA RAT comprueba periódicamente si hay nuevas instrucciones
La forma en que VBA RAT recibe el comando también es algo única. En lugar de escuchar constantemente los comandos, utiliza un pequeño script que se activa cada 10 minutos. Cuando pasan 10 minutos, el implante se pone en contacto con el servidor de comando y control y comprueba si hay nuevos comandos; si no hay nada, repite la tarea después de diez minutos más.
El malware se administra a través de un panel de control basado en la web, que contiene información sobre las víctimas que se encuentran actualmente en línea: ubicación, dirección IP, sistema operativo y más. Es muy poco probable que el VBA RAT se utilice contra residentes habituales de Rusia o Ucrania; en cambio, es probable que sus objetivos principales sean personas involucradas en el conflicto de Crimea.
Sin embargo, ataques como el que lleva a cabo VBA RAT se pueden detener mediante el uso de un paquete de software anti-malware actualizado.
