HiatusRAT cible le micrologiciel du routeur
Les chercheurs de Lumen Black Lotus Labs ont découvert une nouvelle campagne de logiciels malveillants qu'ils ont nommée "Hiatus". Cette campagne cible les routeurs de qualité professionnelle, principalement les modèles DrayTek Vigor 2960 et 3900, qui peuvent prendre en charge les connexions VPN pour les travailleurs distants et sont idéaux pour les entreprises de taille moyenne. Une fois infecté, le malware déploie deux binaires malveillants - un cheval de Troie d'accès à distance (RAT) connu sous le nom de HiatusRAT.
Le HiatusRAT permet aux attaquants d'interagir à distance avec le système infecté et de le convertir en un proxy secret. Le binaire axé sur la capture de paquets permet à l'acteur de surveiller le trafic du routeur sur les ports associés aux communications de courrier électronique et de transfert de fichiers. Les acteurs de la menace derrière la campagne ont principalement ciblé les routeurs en fin de vie exécutant une architecture i386, mais des binaires prédéfinis qui ciblent les puces MIPS, i386 et ARM ont également été découverts.
Lumen Black Lotus Labs® a identifié au moins 100 victimes infectées, principalement en Europe et en Amérique latine, en utilisant la télémétrie propriétaire de la dorsale IP mondiale de Lumen. La dernière version du logiciel malveillant est devenue active au milieu de 2022. La campagne est soupçonnée de cibler la collecte de données et d'établir un réseau proxy secret.
La campagne Hiatus est composée de trois composants : un script bash, HiatusRAT, et une variante de tcpdump qui permet la capture de paquets. HiatusRAT a deux objectifs : interagir à distance avec le périphérique infecté et agir en tant que périphérique proxy SOCKS5 sur le routeur. Cela permet à l'acteur de transmettre par proxy le trafic C&C via le routeur pour obscurcir la commande et le contrôle d'un agent supplémentaire ailleurs.
Qu'est-ce qu'un cheval de Troie d'accès à distance ?
Un cheval de Troie d'accès à distance (RAT) est un type de logiciel malveillant qui fournit un accès non autorisé à l'ordinateur ou au réseau d'une victime. Les RAT se propagent généralement via des e-mails de phishing, des tactiques d'ingénierie sociale ou des exploits logiciels. Une fois installé, l'attaquant prend le contrôle à distance de l'appareil compromis et peut effectuer diverses actions telles que voler des données sensibles, modifier des fichiers ou installer des logiciels malveillants supplémentaires. Les RAT peuvent également être utilisés pour espionner les activités de la victime, enregistrer les frappes au clavier, prendre des captures d'écran et allumer la caméra et le microphone de la victime. Les RAT sont considérés comme une grave menace pour la confidentialité et la sécurité, et les utilisateurs doivent prendre des mesures pour empêcher leur installation, comme maintenir leur logiciel antivirus à jour et éviter les pièces jointes ou les téléchargements suspects.
