Uma versão para Windows do instalador RustDoor está se espalhando por meio de um pacote de software audiovisual comprometido hospedado e distribuído por uma plataforma de gravação audiovisual utilizada em salas de tribunal, presídios, centros de detenção, conselhos, audiências e salas de aula em todo o país.
Os agentes de ameaças corromperam o Justice AV’s Viewer v8.3.7, que é usado para acessar arquivos de mídia e registro produzidos pela plataforma Justice AV, de acordo com pesquisadores da Rapid7, que hoje divulgaram suas descobertas sobre a campanha de ciberataque na cadeia de suprimentos.
Após sua instalação, o instalador RustDoor permite que os adversários assumam completamente o controle dos sistemas infectados, de acordo com o relatório. O Viewer estava disponível para download por meio do site do fornecedor e era fornecido como um pacote de instalação baseado em Windows que solicitava privilégios elevados na execução, explicaram os pesquisadores.
RustDoor foi descoberto pela primeira vez em dezembro de 2023 direcionado para máquinas macOS. A versão para Windows, também conhecida como GateDoor e escrita em Golang em vez de Rust, foi encontrada pouco tempo depois, de acordo com os pesquisadores responsáveis por sua descoberta. Remontando às suas origens, RustDoor e GateDoor foram implantados em ciberataques na cadeia de suprimentos disfarçados de software legítimo. Campanhas passadas de RustDoor foram vinculadas ao grupo de ransomware ALPHV/BlackCat.
As primeiras versões maliciosas dos pacotes JAVS Viewer surgiram em fevereiro de 2021, e a Rapid7 começou a investigá-las em 10 de maio.
Desde então, a JAVS removeu os arquivos do Viewer corrompidos e informou à Rapid7 que “nenhum código-fonte, certificados, sistemas ou outros lançamentos de software foram comprometidos neste incidente”.
Os clientes do software Justice AV Solutions não devem apenas excluir e substituir o software, mas também reimplementar completamente os endpoints afetados, recomendou a Rapid7, além de redefinir as credenciais. Os usuários do JAVS Viewer v8.3.7 estão em “alto risco e devem tomar ações imediatas”, alertaram os pesquisadores.
Embora o malware RustDoor não esteja mais se espalhando por meio da plataforma JAVS, a Rapid7 observou que os adversários por trás do ataque à cadeia de suprimentos estão continuamente atualizando e melhorando sua infraestrutura de comando e controle.
