Um instalador falsificado de RVTools está abusando de um certificado de assinatura de código Sectigo legítimo para evitar a detecção pelo Microsoft Defender SmartScreen e muitos controles de endpoint. Isso resulta no deployment de um RAT baseado em Python com várias etapas, capaz de realizar reconhecimento profundo em AD e manter acesso persistente C2. Esse vetor de ataque pode comprometer um administrador em ambientes com alta dependência de VMware, efetivamente concedendo controle de nível de domínio.
Detalhes Técnicos
Abuso de certificado de assinatura de código Sectigo para evasão de SmartScreen.
Deployment de RAT multi-etapa baseado em Python.
Capacidade de reconhecimento profundo em Active Directory (AD).
Acesso persistente C2.
Risco aumentado em ambientes VMware-heavy.
Recomendações
Verificar a autenticidade de instaladores, especialmente de ferramentas críticas como RVTools.
Implementar controles adicionais para validar a assinatura de código de software.
Monitorar atividades suspeitas que possam indicar comprometimento de administradores.
Manter o Microsoft Defender SmartScreen e outros controles de endpoint atualizados.
