Atroposia: RAT con scanner delle vulnerabilità

I ricercatori di Varonis hanno scoperto una nuova piattaforma MaaS (Malware-as-a-Service) che permette di distribuire Antroposia, un RAT (Remote Access Trojan) modulare per Windows con numerose funzionalità, tra cui uno scanner delle vulnerabilità. Gli sviluppatori offrono un pacchetto completo in abbonamento.

Funzionalità di Antroposia

Antroposia viene venduto nel dark web a 200 dollari/mese, 500 dollari per tre mesi o 900 dollari per sei mesi. Il pacchetto include anche pannello di controllo e plugin builder. Il RAT comunica con il server C2C (command and control) tramite un canale cifrato. Può ottenere privilegi di amministratore su Windows aggirando il controllo account utente (UAC) e può mantenere la persistenza (esecuzione automatica all’avvio).

Antroposia offre 12 funzionalità. Gli esperti di Varonis hanno descritto le cinque principali. La prima si chiama HRDP Connect. Permette di stabilire una sessione di desktop remoto invisibile. La vittima non si accorge di nulla, mentre vengono aperte app, email e documenti. Ciò permette di effettuare campagne di spionaggio e rubare dati in tempo reale.

Il malware integra un file manager che consente di eseguire le stesse operazioni di Esplora file. I cybercriminali possono quindi accedere a tutti i file e a tutte le condivisione di rete. Ci sono moduli specifici per cercare ed esfiltrare ogni tipo di dato, tra cui quelli memorizzati nel browser, wallet di criptovalute, applicazioni, VPN e password manager.

Antroposia intercetta inoltre il contenuto copiato negli appunti (clipboard) di Windows, come password, chiavi API o indirizzi di wallet. In aggiunta al furto di cookie di sessione e token di autenticazione permette di prendere il controllo degli account e reindirizzare le transazioni in criptovalute verso i wallet dei cybercriminali.

Un altro modulo effettua il DNS hijacking. La vittima crede di accedere ad un dominio legittimo, ma finisce sui server controllati dai cybercriminali. Ciò consente attacchi di phishing o man-in-the-middle, l’iniezione di malware e la distribuzione di falsi aggiornamenti software.

Infine, Antroposia include uno scanner di vulnerabilità. Può quindi trovare software non aggiornato, patch mancanti e impostazioni non corrette. I cybercriminali conoscono così i punti deboli e possono effettuare attacchi a colpo sicuro.