Uma versão do instalador RustDoor para Windows está se espalhando através de um pacote de software audiovisual comprometido hospedado e distribuído por uma plataforma de gravação audiovisual utilizada em tribunais, cadeias, prisões, câmaras municipais, salas de audiência e palestras em todo o país.
Os cibercriminosos corromperam o Justice AV’s Viewer v8.3.7, que é utilizado para acessar arquivos de mídia e de registro produzidos pela plataforma Justice AV, de acordo com pesquisadores da Rapid7, que divulgaram hoje suas descobertas sobre a campanha de ataque cibernético na cadeia de suprimentos.
Uma vez implantado, o instalador RustDoor permite que os adversários assumam completamente o controle dos sistemas infectados, conforme relatado. O Viewer estava disponível para download no site do fornecedor e é enviado como um pacote de instalação baseado em Windows que solicita altos privilégios ao ser executado, explicaram os pesquisadores.
RustDoor foi descoberto pela primeira vez em dezembro de 2023 direcionado a máquinas macOS. A versão para Windows, também chamada de GateDoor e escrita em Golang em vez de Rust, foi encontrada logo em seguida, de acordo com os pesquisadores por trás de sua descoberta. Remontando às suas origens, RustDoor e GateDoor foram implantados em ataques cibernéticos na cadeia de suprimentos disfarçados de software legítimo. Campanhas passadas do RustDoor foram vinculadas ao grupo de ransomware ALPHV/BlackCat.
As primeiras versões maliciosas dos pacotes JAVS Viewer surgiram em fevereiro de 2021, e a Rapid7 começou a investigar em 10 de maio.
JAVS removeu os arquivos corrompidos do Viewer e informou à Rapid7 que “nenhum código-fonte, certificados, sistemas ou outros lançamentos de software foram comprometidos neste incidente”.
Os clientes do software Justice AV Solutions não devem apenas excluir e substituir o software, mas reconfigurar completamente os pontos finais afetados, recomendou a Rapid7, além de redefinir as credenciais. Os usuários do JAVS Viewer v8.3.7 estão em “alto risco e devem tomar medidas imediatas”, alertaram os pesquisadores.
Embora o malware RustDoor não esteja mais se espalhando através da plataforma JAVS, a Rapid7 observou que os adversários por trás do ataque na cadeia de suprimentos estão continuamente atualizando e aprimorando sua infraestrutura de comando e controle (C2).
