Camboja

Uma nova campanha de cibersegurança tem como alvo indivíduos e organizações no Camboja, utilizando um trojan de acesso remoto (RAT) de código aberto chamado Spark RAT. A pesquisa da Acronis Threat Research Unit (TRU) revela que os atacantes empregam temas variados para atrair vítimas, incluindo avisos governamentais e materiais de saúde pública. O ataque utiliza a técnica ‘bring your own vulnerable driver’ (BYOVD) para carregar um driver legítimo, mas vulnerável, que permite a escalada de privilégios e a neutralização de softwares de segurança. Os atacantes distribuem e-mails de phishing com arquivos compactados que contêm executáveis maliciosos, levando as vítimas a executá-los. O instalador Inno Setup aciona uma cadeia de carregamento de DLLs, que, após uma série de verificações, injeta o Spark RAT em processos do sistema. O malware é projetado para contornar medidas de segurança, estabelecendo persistência no sistema e monitorando processos relacionados a softwares de segurança. Embora a Acronis tenha identificado semelhanças com atividades anteriores de um ator de ameaças conhecido como Silver Fox, não há evidências suficientes para atribuir a nova campanha a esse grupo. A configuração do Spark RAT contém valores em chinês, indicando possíveis ligações com desenvolvedores ou operadores de língua chinesa.