Un troyano de acceso remoto (RAT) "intrincadamente diseñado" llamado Xeno RAT se ha puesto a disposición en GitHub, poniéndolo a disposición de otros actores sin coste adicional.
Escrito en C# y compatible con los sistemas operativos Windows 10 y Windows 11, el RAT de código abierto viene con un "amplio conjunto de características para la gestión remota del sistema", según su desarrollador, que responde al nombre de moom825.
Incluye un proxy inverso SOCKS5 y la capacidad de grabar audio en tiempo real, así como incorporar un módulo de computación virtual en red oculta (hVNC) en la línea de DarkVNC, que permite a los atacantes obtener acceso remoto a un ordenador infectado.
"Xeno RAT está desarrollado completamente desde cero, lo que garantiza un enfoque único y a medida de las herramientas de acceso remoto", afirma el desarrollador. Otro aspecto destacable es que cuenta con un constructor que permite crear variantes a medida del malware.
Cabe destacar que moom825 también es el desarrollador de otra RAT basada en C# llamada DiscordRAT 2.0, que ha sido distribuida por actores de amenazas dentro de un paquete npm malicioso llamado node-hide-console-windows, según reveló ReversingLabs en octubre de 2023.
La empresa de ciberseguridad Cyfirma, en un informe publicado la semana pasada, afirmó haber observado que Xeno RAT se diseminaba a través de la red de distribución de contenidos (CDN) Discord, lo que subraya una vez más cómo el aumento del malware asequible y de libre acceso está impulsando un incremento de las campañas que utilizan RAT.
Fuente: github moom825/xeno-rat
"El vector primario en forma de archivo de acceso directo, disfrazado de captura de pantalla de WhatsApp, actúa como descargador", dijo la compañía. "El descargador descarga el archivo ZIP de Discord CDN, lo extrae y ejecuta la carga útil de la siguiente etapa".
La secuencia de múltiples etapas aprovecha una técnica llamada DLL side-loading para lanzar una DLL maliciosa, mientras que simultáneamente toma medidas para establecer la persistencia y evadir el análisis y la detección.
El desarrollo se produce cuando el Centro de Inteligencia de Seguridad AhnLab (ASEC) reveló el uso de una variante de Gh0st RAT llamada Nood RAT que se utiliza en ataques dirigidos a sistemas Linux, permitiendo a los adversarios cosechar información sensible.
"Nood RAT es un malware de puerta trasera que puede recibir comandos del servidor de C&C para realizar actividades maliciosas como descargar archivos maliciosos, robar archivos internos de los sistemas y ejecutar comandos", dijo ASEC.
"Aunque simple en su forma, está equipado con la función de cifrado para evitar la detección de paquetes de red y puede recibir comandos de los actores de amenazas para llevar a cabo múltiples actividades maliciosas."
Fuente: thehackernews.com