A campanha PureRAT é uma multi-estágio que esconde payloads de executáveis portáteis (PE) dentro de imagens PNG e os executa quase que inteiramente em memória, dificultando significativamente a detecção e a forense para os defensores. A campanha combina esteganografia, carregadores baseados em PowerShell, bypass de UAC, processos de "hollowing" e verificações anti-virtualização para permanecer furtiva em sistemas comprometidos.
Detalhes Técnicos
A campanha começa com um arquivo .LNK armazenado, que é executado pelo usuário.
O arquivo .LNK carrega um carregador baseado em PowerShell que esconde o payload PE dentro de uma imagem PNG.
A imagem PNG é carregada em memória e o payload PE é executado, evitando a escrita no disco rígido.
O ataque também inclui verificações anti-virtualização para evitar detecção por ferramentas de virtualização.
O uso de processos de "hollowing" permite que o ataque permaneça furtivo e evite detecção por ferramentas de segurança.
