Logiciel malveillant VOID#GEIST en plusieurs étapes fournissant XWorm, AsyncRAT et Xeno RAT

Des chercheurs en cybersécurité ont divulgué les détails d'une campagne de malware en plusieurs étapes qui utilise des scripts batch comme moyen de fournir diverses charges utiles de chevaux de Troie d'accès à distance (RAT) cryptées correspondant à XWorm, AsyncRAT et Xeno RAT.

La chaîne d'attaque furtive a été baptisée VOID#GEIST par Securonix Threat Research.

À un niveau élevé, le script batch obscurci est utilisé pour déployer un deuxième script batch, mettre en scène un runtime Python intégré légitime et décrypter les blobs de shellcode cryptés, qui sont exécutés directement en mémoire en les injectant dans des instances distinctes de « explorer.exe » à l'aide d'une technique appelée injection d'appel de procédure asynchrone Early Bird (APC).

"Les campagnes de malware modernes passent de plus en plus des exécutables autonomes à des cadres de diffusion complexes basés sur des scripts qui imitent fidèlement l'activité légitime des utilisateurs", ont déclaré les chercheurs Akshay ...
[Courte citation de 8% de l'article original]