mai 6, 2022

Dissection du comportement du cheval de Troie d’accès à distance (RAT) Netwire sur un terminal infecté

Netwire est un cheval de Troie d’accès à distance (RAT) capable de voler des mots de passe, d’enregistrer des frappes et inclut des capacités de contrôle à distance. Netwire RAT a été utilisé par des groupes de menaces persistantes avancées (APT) dans le passé.

Dans une récente campagne de spam, Netwire RAT a été livré via un fichier zip réalisé contenant un script Visual Basis.

Équipe de conseil en sécurité OpenTextdans le cadre de leurs recherches sur les menaces, surveille en permanence le comportement des logiciels malveillants sur le terminal et crée un contenu d’alerte pour ses MxDR et Services de sécurité gérés les clients.

Chaîne d’infection

Lors de l’exécution du script Visual Basic malveillant associé à l’infection Netwire RAT, le script contacte un site Web compromis et télécharge un script Visual Basic mis à jour. Le script appelle ensuite le processus PowerShell pour exécuter un script encodé en Base64 afin de créer une persistance, de télécharger des charges utiles supplémentaires, d’injecter du code dans le processus ieinstall et de communiquer avec l’hôte de commande et de contrôle Netwire RAT (C2).