VBA RAT atteint les victimes grâce au manifeste pro-Crimée

Un nouveau malware a été utilisé dans la cyber bataille en cours entre la Russie et l'Ukraine au sujet du conflit en Crimée. La nouvelle menace, surnommée le VBA RAT, est transmise par le biais d'e-mails de phishing, qui contiennent un document macro-lacé. Le document leurre est un manifeste appelé ' Манифест.docx .' Le document semble se décliner en deux variantes, qui utilisent des techniques légèrement différentes pour exécuter une charge utile intégrée – le VBA RAT.

L'objectif du cheval de Troie est de collecter des informations sur le système compromis, ainsi que d'interagir avec le système de fichiers. Ses opérateurs peuvent ordonner à l'implant de supprimer des fichiers, de charger/télécharger des fichiers et de vérifier quel logiciel antivirus s'exécute sur la machine de la victime. L'une des découvertes intéressantes liées à la campagne VBA RAT est que les attaquants utilisent un exploit d'Internet Explorer, qui était auparavant utilisé par le Lazarus Hacking Group . Cependant, il est hautement improbable que les acteurs de la menace derrière le VBA RAT aient quelque chose en commun avec le tristement célèbre Lazarus APT.

VBA RAT vérifie périodiquement les nouvelles instructions

La façon dont le VBA RAT reçoit la commande est également quelque peu unique. Au lieu d'écouter constamment les commandes, il utilise un petit script qui se déclenche toutes les 10 minutes. Lorsque 10 minutes se sont écoulées, l'implant contacte le serveur de commande et de contrôle et recherche de nouvelles commandes - s'il n'y a rien, il répète la tâche après dix minutes supplémentaires.

Le logiciel malveillant est géré via un panneau de configuration Web, qui contient des informations sur les victimes actuellement en ligne - emplacement, adresse IP, système d'exploitation, etc. Il est très peu probable que le VBA RAT soit utilisé contre des résidents réguliers de Russie ou d'Ukraine – au lieu de cela, ses cibles principales seront probablement des individus impliqués dans le conflit en Crimée.

Néanmoins, des attaques comme celle menée par le VBA RAT peuvent être stoppées en utilisant une suite logicielle anti-malware à jour.