One Article Review
| Source |  RiskIQ |
|---|---|
| Identifiant | 8517379 |
| Date de publication | 2024-06-11 22:54:08 (vue: 2024-06-13 20:10:23) |
| Titre | La nouvelle campagne Valleyrat utilise des attaques à plusieurs étapes pour compromettre les systèmes New ValleyRAT Campaign Employs Multi-Stage Attack to Compromise Systems |
| Texte | ## Instantané
Zscaler ThreatLabz a identifié une récente campagne en plusieurs étapes déploiement de la dernière version de Valleyrat, développée par un acteur de menace basé en Chine.
## Description
Valleyrat est un cheval de Troie (rat) à l'accès à distance documenté pour la première fois au début de 2023. Il vise à infiltrer les systèmes, accordant aux attaquants un contrôle non autorisé.Généralement distribué via des e-mails de phishing ou des téléchargements malveillants, la dernière version comprend de nouvelles commandes pour capturer des captures d'écran, un filtrage de processus, des fermetures forcées et effacer les journaux d'événements Windows.
La campagne commence par un téléchargeur de stade initial à l'aide d'un serveur de fichiers HTTP (HFS) pour récupérer les fichiers nécessaires.Le téléchargeur utilise diverses techniques d'évasion, telles que les contrôles anti-virus, la charge latérale DLL et l'injection de processus.
Un marqueur spécifique identifie la configuration de la communication avec le serveur de commande et de contrôle (C2), détaillant le protocole C2 IP, port et communication.Les mises à jour notables dans Valleyrat incluent les empreintes digitales améliorées et les modifications de la génération d'ID de bot.
Le premier téléchargeur étage récupère et décrypte une DLL, en lançant le processus en vérifiant et en téléchargeant des fichiers si nécessaire.Les mesures anti-AV ciblent des processus spécifiques comme le logiciel de sécurité Qihoo et Winrar.Le malware télécharge ensuite des fichiers supplémentaires et se prépare pour l'étape suivante.
Dans la deuxième étape, une application légitime (winword2013.exe) touche une DLL malveillante (wwlib.dll), qui décrypte et injecte Shellcode dans svchost.exe, en établissant la persistance en modifiant les clés Autorun et en cachant des fichiers.
La troisième étape implique des API de résolution de shellcode injectée et d'établir une connexion C2 pour télécharger d'autres étapes de logiciels malveillants.Enfin, la quatrième étape charge dynamiquement une DLL intégrée, l'analyse des données de configuration et la vérification de la charge utile finale, qui est finalement chargée et exécutée.
Les acteurs de la menace continuent d'évoluer Valleyrat pour éviter la détection, la dernière version ajoutant une collection de données améliorée pour les empreintes digitales de l'appareil et la modification du processus de génération de bot ID, mettant en évidence sa sophistication dans l'évasion des mesures de sécurité et le contrôle des systèmes infectés.
## Les références
[La nouvelle campagne Valleyrat utilise des attaques en plusieurs étapes pour compromettre les systèmes] (https://www.zscaler.com/blogs/security-research/technical-analysis-latest-variant-valleyrat#new_tab).Zscaler (accessoire 2024-06-11)
## Snapshot Zscaler ThreatLabz has identified a recent multi-stage campaign deploying the latest ValleyRAT version, developed by a China-based threat actor. ## Description ValleyRAT is a remote access trojan (RAT) first documented in early 2023. It aims to infiltrate systems, granting attackers unauthorized control. Typically distributed via phishing emails or malicious downloads, the latest version includes new commands for capturing screenshots, process filtering, forced shutdowns, and clearing Windows event logs. The campaign starts with an initial stage downloader using an HTTP File Server (HFS) to fetch necessary files. The downloader employs various evasion techniques, such as anti-virus checks, DLL sideloading, and process injection. A specific marker identifies the configuration for communication with the command-and-control (C2) server, detailing the C2 IP, port, and communication protocol. Notable updates in ValleyRAT include enhanced device fingerprinting and changes in bot ID generation. The first stage downloader |
| Notes | ★★★ |
| Envoyé | Oui |
| Condensat | 2023 2024 access acessed actor actors adding additional aims analysis anti apis application attack attackers autorun avoid based bot campaign capturing changes checking checks china clearing collection com/blogs/security command commands communication compromise configuration connection continue control data decrypts deploying description detailing detection developed device distributed dll documented download downloader downloading downloads dynamically early emails embedded employs enhanced establishing evading evasion event evolve exe executed fetch file files filtering final finally fingerprinting first forced fourth further generation granting has hfs hiding highlighting http https://www identified identifies include includes infected infiltrate initial initiating injected injection injects involves its keys latest legitimate like loaded loads logs maintaining malicious malware marker measures modifying multi necessary new next notable over parsing payload persistence phishing port prepares process processes protocol qihoo rat recent references remote research/technical resolving retrieves screenshots second security server shellcode shutdowns sideloading sideloads snapshot software sophistication specific stage stages starts such svchost systems tab target techniques then third threat threatlabz trojan typically ultimately unauthorized updates using valleyrat valleyrat#new variant various version virus which windows winrar winword2013 wwlib zscaler |
| Tags | Malware Threat |
| Stories | |
| Move | 
|
L'article ne semble pas avoir été repris aprés sa publication.
L'article ne semble pas avoir été repris sur un précédent.