QuimaRAT: RAT mã hóa bằng Java theo mô hình MaaS nhắm Windows, Linux và macOS
"Researchers reported a new Java-based malware-as-a-service remote access trojan called QuimaRAT that targets Windows, Linux, and macOS. The modular malware uses encrypted plugins, multiple persistence methods, and C2 channels over TCP/WebSocket/TLS/HTTPS, and it supports capabilities such as remote command execution, credential theft, file transfer, clipboard manipulation, webcam surveillance, and fileless shellcode execution on Windows. No CVE is associated with this threat; mitigation focuses on detection, blocking its delivery infrastructure, and preventing execution of the loader and payload components."
QuimaRAT nhắm đa nền tảng và hỗ trợ remote command execution, credential theft cùng giám sát (clipboard/webcam), tăng rủi ro chiếm quyền và duy trì truy cập. Điểm đáng chú ý gồm persistence đa hệ điều hành và kênh C2 linh hoạt qua TCP/WebSocket/TLS/HTTPS.
Nếu được triển khai thành công, mối đe dọa có thể gây gián đoạn vận hành do mất kiểm soát endpoint và rò rỉ dữ liệu. Tác động chính đến doanh nghiệp đến từ khả năng duy trì truy cập và tải plugin/payload động khiến việc ứng phó theo mẫu chữ ký trở nên khó hơn.
Các nhà nghiên cứu đã công bố QuimaRAT, một remote access trojan (RAT) viết bằng Java và được rao bán theo mô hình malware-as-a-service (MaaS), có khả năng nhắm tới Windows, Linux và macOS. Theo phân tích, mã độc có kiến trúc mô-đun: tải, nạp, gỡ và cập nhật các plugin được mã hóa từ hạ tầng C2. Bộ công cụ đi kèm gồm Quima Control (các module quản trị), Quima Builder (tạo nhiều định dạng đầu ra như JAR/EXE/APP/SH/BAT/VBS…), Quima Loader (dịch vụ “stager” qua trình duyệt) và Quima Dropper (tạo payload dạng HTML/SVG).
Quima Loader cho phép nhà điều hành tải EXE, chọn định dạng phân phối (ví dụ HTA hoặc LNK) và mẫu trang đích (ví dụ giả lập CAPTCHA hoặc thông báo cập nhật). Khi nạn nhân mở liên kết trong trình duyệt, payload được giữ trong trình đệm rồi được chạy; trên Windows, chuỗi này được mô tả là có thể vượt SmartScreen. Mã độc thiết lập persistence bằng Registry Run/Scheduled Tasks/Startup (Windows), .desktop autostart và crontab (Linux), LaunchAgent plist (macOS), đồng thời hỗ trợ C2 qua TCP/WebSocket/TLS/HTTPS và cơ chế watchdog.
Khuyến nghị: ưu tiên phát hiện loader/payload, chặn hạ tầng phân phối và kiểm soát thực thi thành phần loader để giảm khả năng xâm nhập. Không có CVE được gắn với mối đe dọa này.