Agentes maliciosos han manipulado el instalador asociado al software de grabación de vídeo de salas de vistas desarrollado por Justice AV Solutions (JAVS) para distribuir malware asociado a una puerta trasera conocida como RustDoor.
El ataque a la cadena de suministro de software, rastreado como CVE-2024-4978, afecta a JAVS Viewer v8.3.7, un componente de JAVS Suite 8 que permite a los usuarios crear, gestionar, publicar y visualizar grabaciones digitales de procedimientos judiciales, reuniones de negocios y sesiones del ayuntamiento.
La empresa de ciberseguridad Rapid7 dijo que inició una investigación a principios de este mes después de descubrir un ejecutable malicioso llamado "fffmpeg.exe" (nótese las tres efes) en la carpeta de instalación de Windows del software, rastreándolo hasta un binario llamado "JAVS Viewer Setup 8.3.7.250-1.exe" que se descargó del sitio oficial de JAVS el 5 de marzo de 2024.
"El análisis del instalador JAVS Viewer Setup 8.3.7.250-1.exe mostró que estaba firmado con una firma Authenticode inesperada y contenía el binario fffmpeg.exe", dijeron los investigadores de Rapid7, añadiendo que "observaron scripts PowerShell codificados siendo ejecutados por el binario fffmpeg.exe."
Tanto fffmpeg.exe como el instalador han sido firmados por un certificado Authenticode emitido a nombre de "Vanguard Tech Limited", en lugar de "Justice AV Solutions Inc", la entidad firmante utilizada para autenticar las versiones legítimas del software.
Una vez ejecutado, fffmpeg.exe establece contacto con un servidor de comando y control (C&C) utilizando sockets de Windows y peticiones WinHTTP para enviar información sobre el host infectado y esperar instrucciones del servidor.
También está diseñado para ejecutar secuencias de comandos PowerShell ofuscadas que intentan eludir Antimalware Scan Interface (AMSI) y desactivar Event Tracing for Windows (ETW), tras lo cual ejecuta un comando para descargar una carga útil adicional que se hace pasar por un instalador de Google Chrome ("chrome_installer.exe") desde un servidor remoto.
Este binario, a su vez, contiene código para soltar scripts Python y otro ejecutable llamado "main.exe" y lanzar este último con el objetivo de recopilar credenciales de los navegadores web. El análisis de Rapid7 de "main.exe" encontró fallos de software que impedían que se ejecutara correctamente.
RustDoor, un malware de puerta trasera basado en Rust, fue documentado por primera vez por Bitdefender a principios de febrero como dirigido a dispositivos macOS de Apple imitando una actualización de Microsoft Visual Studio como parte de probables ataques dirigidos utilizando señuelos de ofertas de trabajo.
Un análisis posterior de la empresa surcoreana de ciberseguridad S2W desveló una versión para Windows con el nombre en clave GateDoor programada en Golang.
Los investigadores de S2W Minyeop Choi, Sojun Ryu, Sebin Lee y HuiSeong Yang señalaron ese mismo mes que "se ha confirmado que tanto RustDoor como GateDoor se distribuyen bajo la apariencia de actualizaciones de programas o utilidades normales". "RustDoor y GateDoor tienen puntos finales superpuestos utilizados cuando se comunican con el servidor de C&C y tienen funciones similares".
Existen pruebas de infraestructura que conectan a la familia de malware con una filial de ransomware-as-a-service (RaaS) llamada ShadowSyndicate. Sin embargo, también se ha planteado la posibilidad de que pudieran estar actuando como un colaborador especializado en proporcionar infraestructura a otros actores.
El uso de un instalador de JAVS Viewer troyanizado para distribuir una versión de RustDoor para Windows también fue señalado por S2W el 2 de abril de 2024, en un post compartido en X (antes Twitter). Actualmente no está claro cómo el sitio del proveedor fue violado y un instalador malicioso llegó a estar disponible para su descarga.
JAVS, en una declaración proporcionada al proveedor de ciberseguridad, dijo que identificó un "posible problema de seguridad" con la versión 8.3.7 de JAVS Viewer, y que retiró la versión afectada del sitio web, restableció todas las contraseñas y llevó a cabo una auditoría completa de sus sistemas.
"Ningún código fuente de JAVS, certificados, sistemas u otras versiones de software se vieron comprometidos en este incidente", dijo la compañía estadounidense. "El archivo en cuestión no procedía de JAVS ni de ningún tercero asociado con JAVS. Recomendamos encarecidamente a todos los usuarios que comprueben que JAVS ha firmado digitalmente cualquier software JAVS que instalen."
Se aconseja a los usuarios que comprueben si hay indicadores de compromiso (IoC) y, en caso de estar infectados, vuelvan a realizar una imagen completa de todos los puntos finales afectados, restablezcan las credenciales y actualicen a la última versión de JAVS Viewer.
Fuente: thehackernews