Um novo malware chamado dotRunpeX está sendo usado para distribuir várias famílias de malware conhecidas, como Agent Tesla, Ave Maria, BitRAT, FormBook, LokiBot, NetWire, Raccoon Stealer, RedLine Stealer, Remcos, Rhadamanthys e Vidar.
“DotRunpeX é um novo injetor escrito em .NET usando a técnica Process Hollowing e usado para infectar sistemas com uma variedade de famílias de malware conhecidas”, disse a Check Point em um relatório publicado na semana passada.
Diz-se que está em desenvolvimento ativo, o dotRunpeX chega como um malware de segundo estágio na cadeia de infecção, geralmente implantado por meio de um downloader (também conhecido como loader) que é transmitido por e-mails de phishing como anexos maliciosos.
Alternativamente, é conhecido por alavancar anúncios maliciosos do Google em páginas de resultados de pesquisa para direcionar usuários desavisados que procuram software popular, como AnyDesk e LastPass, a sites imitadores que hospedam instaladores trojanizados.
Os artefatos DotRunpeX mais recentes, detectados pela primeira vez em outubro de 2022, adicionam uma camada extra de ofuscação usando o protetor de virtualização KoiVM.
Vale ressaltar que as descobertas se encaixam em uma campanha de publicidade maliciosa documentada pelo SentinelOne no mês passado, na qual o carregador e os componentes do injetor eram referidos coletivamente como MalVirt.
A análise da Check Point revelou ainda que “cada amostra dotRunpeX possui uma carga incorporada de uma determinada família de malware a ser injetada”, com o injetor especificando uma lista de processos anti-malware a serem encerrados.
Isso, por sua vez, é possível pelo abuso de um driver explorador de processo vulnerável (procexp.sys) que está incorporado ao dotRunpeX para obter a execução no modo kernel.
Há sinais de que o dotRunpeX pode ser afiliado a atores de língua russa com base nas referências de idioma no código. As famílias de malware entregues com mais frequência pela ameaça emergente incluem RedLine, Raccoon, Vidar, Agent Tesla e FormBook.
Fonte: TheHackerNews, Ravie Lakshmanan
