Distribuição

Este malware é distribuído por meio de e-mails de phishing e campanhas de spam malicioso. Os atacantes usam anexos com macros ofuscadas para evitar a detecção. Assim que o usuário abre o anexo malicioso, o VenomRAT é instalado. Ele também é distribuído por meio de exploits falsos de prova de conceito no GitHub, para enganar os usuários e levá-los a executar o malware.

Evolução e Desenvolvimento

VenomRAT é um fork do Quasar RAT e foi atualizado diversas vezes. Apesar de seu amplo uso, ele é mal projetado, com IPs fixos no código e uso indevido de ferramentas de tunelamento como o Ngrok. Algumas variantes possuem criptografia e recursos de ransomware integrados, mas esses recursos também são mal projetados, facilitando a detecção e a recuperação de arquivos.

Variantes conhecidas: O VenomRAT possui algumas variantes notáveis, como as versões 5.6 e 6.0.3. Na versão 5.6, foi adicionado um módulo HVNC (Hidden Virtual Network Computing) funcional, permitindo que os atacantes controlem remotamente os sistemas comprometidos com mais eficácia. A versão 6.0.3 aprimorou essas funcionalidades, mas os detalhes sobre as melhorias específicas dessa atualização ainda são escassos.

Estratégias de Mitigação: Não baixe anexos de fontes desconhecidas.

Atualize regularmente seu sistema operacional e software de segurança.

Tenha cuidado com e-mails que pedem para você executar macros.

Implemente um sistema robusto de filtragem de e-mails para detectar e bloquear tentativas de phishing.

Indústrias ou setores-alvo: O VenomRAT tem sido usado em ataques contra diversos setores, principalmente na América Latina. Os setores afetados incluem hotelaria, finanças, manufatura, indústria e governo. O malware é versátil e pode ser adaptado a qualquer alvo, dependendo dos objetivos dos atacantes.

Atores de Ameaça Associados: O grupo de ameaças TA558 foi associado a campanhas com o malware VenomRAT. Ativo desde pelo menos 2018, o TA558 tem como alvo entidades na América Latina, utilizando diversos malwares, incluindo o VenomRAT, para invadir redes e exfiltrar dados sensíveis.