Uma campanha de phishing direcionada está utilizando detalhes reais de eventos acadêmicos para enganar pesquisadores e infectar seus sistemas com a variante do malware RokRAT. A operação, identificada como Operation Capsule Vault, explora a confiança em materiais de seminários e conferências para entregar payloads maliciosos.
Engenharia social e contexto do ataque
Os atacantes utilizaram informações de um evento real, o Honsan Kalma Tourism Forum, realizado em Seul, para criar e-mails convincentes. Os e-mails afirmavam distribuir materiais para o evento, impersonando uma organização separada e enquadrando a mensagem como uma notificação de negócios padrão.
Em vez de anexar um documento normal, o e-mail direcionou os destinatários para uma imagem ISO hospedada no Dropbox. A ISO usou um nome de arquivo que se assemelhava a um boletim de seminário, explorando o fato de que o Windows pode ocultar extensões de arquivo conhecidas dos usuários.
Técnicas de entrega e payload
A imagem ISO continha um programa disfarçado como um documento PDF. Uma vez iniciado, o arquivo enganoso exibia o documento acadêmico esperado enquanto a atividade maliciosa continuava em segundo plano. Essa abordagem dual ajuda a reduzir a suspeita, pois a vítima vê material que parece relevante para a mensagem recebida.
O executável funciona como um carregador multietapas, extraindo conteúdo embutido adicional antes de iniciar a próxima fase. Os analistas encontraram que o documento de isca tinha conteúdo vinculado ao evento real, mas seus detalhes de criação mostravam uma discrepância de tempo que indicava que o arquivo não era um material autêntico do evento.
Injeção de processo e persistência
O carregador restaura shellcode na memória e injeta o payload do RokRAT no explorer.exe, um processo normal do Windows. Executar dentro de um processo legítimo pode tornar o comportamento malicioso menos visível e complicar a detecção baseada apenas em programas recém-criados.
Após a execução, o malware coleta detalhes do sistema e prepara comunicações baseadas na nuvem. O relatório encontrou suporte para serviços Dropbox, pCloud e Yandex, com canais separados para receber comandos e fazer upload de informações coletadas.
Capacidades do RokRAT
O RokRAT pode tirar capturas de tela, coletar arquivos, enumerar unidades, reunir informações de processo e executar comandos emitidos por seus operadores. Ele também pode remover rastros selecionados, incluindo arquivos criados em locais temporários e a pasta Inicialização, após receber uma instrução para limpar.
Os pesquisadores vincularam a campanha à família mais ampla do RokRAT através de seu design de serviço em nuvem, manipulação de comandos e similaridades de código com atividades anteriores. Eles avaliaram a operação como provavelmente conectada ao grupo APT37, embora a atribuição deva considerar infraestrutura, padrões de vítimas, táticas e outras evidências juntas.
Recomendações de segurança
As organizações devem verificar e-mails inesperados de materiais de evento através de canais oficiais antes de abrir links ou arquivos. As equipes de segurança também devem monitorar downloads incomuns de ISO, executáveis semelhantes a documentos, injeção anormal de processo e conexões de serviço em nuvem que seguem atividade de e-mail suspeita.
A conscientização dos usuários sobre a verificação de remetentes e a desconfiança de arquivos anexados ou links em e-mails não solicitados é fundamental. A implementação de controles de endpoint que detectam injeção de processo e comportamento anômalo de aplicativos pode ajudar a mitigar o risco.