Introdução à ameaça
Criminosos cibernéticos estão se tornando cada vez melhores em esconder seus rastros, e uma campanha recentemente descoberta de Remcos RAT é a prova disso. Este ataque não depende de um único arquivo malicioso deixado em um sistema. Em vez disso, ele usa uma cadeia de infecção multiestágio cuidadosamente construída que começa com um simples e-mail de phishing e termina com um comprometimento completo do sistema na memória, deixando quase nenhuma pista no disco.
Remcos RAT, abreviação de Remote Control and Surveillance, é uma ameaça conhecida há anos. Os atacantes usam-na para roubar dados, registrar teclas e controlar remotamente máquinas infectadas. O que torna esta campanha mais recente distinta é como ela atinge a vítima. Em vez de depender de métodos de entrega fáceis de detectar, esta operação encadeia múltiplas camadas de ofuscação, ferramentas legítimas do Windows e um servidor C2 ao vivo para entregar seu payload com precisão.
Mecanismo de infecção multiestágio
A infecção começa no momento em que um usuário abre o e-mail de phishing e extrai o arquivo ZIP. Dentro do arquivo está um arquivo JavaScript — MV MERKET COOPER SPECIFICATION.js — que está fortemente ofuscado usando funções de mapeamento de strings e arrays codificados para esconder seu verdadeiro propósito.
Após a execução via Windows Script Host, o script cria objetos ActiveX para lidar com comunicação HTTP, execução de comandos e operações de arquivo, e depois contata almacensantangel[.]com para baixar um script PowerShell remoto chamado ENCRYPT.Ps1. O carregador PowerShell aplica múltiplas camadas de ofuscação para reconstruir o payload na memória.
Os dados são armazenados como uma string codificada em Base64 dentro da variável $securecontainer, que a função $base64reconstruction converte em arrays de bytes brutos. Uma função de XOR rotacional então decifra os dados usando um mecanismo de chave de deslocamento, e a função $masterdecoder traz a decifração completa junto.
Execução na memória e Living-off-the-Land
O script decifrado revela uma montagem .NET chamada ALTERNATE.dll, carregada diretamente na memória através das APIs de Reflection do .NET, sem nenhum arquivo escrito no disco. Um payload secundário, Cqeqpvzeia.exe, é incorporado como uma matriz de bytes brutos começando com a assinatura PE "MZ" e injetado no aspnet_compiler.exe — uma ferramenta legítima do Microsoft .NET — através de uma técnica Living-off-the-Land.
Este processo abusado lida com toda a comunicação C2 de saída, fazendo com que o tráfego malicioso pareça atividade de sistema rotineira. O que torna essa ameaça particularmente difícil de parar é sua capacidade de se esconder dentro das próprias ferramentas que os usuários do Windows confiam todos os dias.
Indicadores de comprometimento (IOCs)
Uma vez totalmente implantado, o Remcos estabelece uma conexão persistente com um servidor C2 remoto em 192[.]3[.]27[.]141:8087, enviando e recebendo dados ativamente. Evidências de coleta de dados foram confirmadas através da criação de um arquivo de log em C:\ProgramData\remcos\logs.dat, que armazena teclas capturadas e outras informações do sistema.
As equipes de segurança devem monitorar eventos de execução do PowerShell, especialmente aqueles que envolvem comandos codificados em Base64 e flags de bypass de política de execução. Conexões de saída de utilitários do sistema como aspnet_compiler.exe para hosts externos desconhecidos devem ser tratadas como suspeitas.
Recomendações para defesa
Organizações devem bloquear URLs maliciosas conhecidas, hashes e infraestrutura C2 da tabela de IOC. Monitorar a criação de arquivos em C:\ProgramData\remcos\logs.dat é um indicador chave de comprometimento. A implementação de soluções de detecção de comportamento e monitoramento de execução de scripts é essencial para identificar essas técnicas avançadas de evasão.