Ataques Fileless do Remcos Contornam EDRs Usando Técnica de Injeção RMClient
Pesquisadores da CyberProof identificaram um aumento significativo nas infecções pelo Trojan de Acesso Remoto (RAT) Remcos entre setembro e outubro de 2025. Essa campanha de malware, que se espalha principalmente por meio de anexos de e-mail e engenharia social, representou cerca de 11% de todos os incidentes de roubo de informações no trimestre. Embora seja comercializado como uma ferramenta legítima de administração remota, o Remcos é frequentemente utilizado por cibercriminosos para roubo de credenciais e operações de persistência. Em um ataque recente, os alvos receberam e-mails de phishing com um arquivo compactado que, ao ser extraído, executou um script PowerShell ofuscado. Este script estabeleceu conexões web seguras e baixou um payload codificado, que foi executado diretamente na memória, confirmando a técnica de execução fileless. A injeção de código malicioso ocorreu em um processo legítimo, o RmClient.exe, dificultando a detecção por sistemas de defesa como EDRs. A análise revelou que os atacantes estavam focados em roubar credenciais armazenadas em navegadores, levando a alertas parciais de EDR. A campanha destaca a necessidade de as organizações reforçarem suas camadas de detecção e vigilância contra iscas de phishing direcionadas.