Uma versão do RustDoor para Windows está se espalhando através de um pacote de software audiovisual comprometido hospedado e distribuído por uma plataforma de gravação audiovisual utilizada em tribunais, cadeias, prisões, órgãos governamentais, salas de audiência e salas de aula em todo o país.
Os atacantes corromperam o visualizador Justice AV’s Viewer v8.3.7, que é utilizado para acessar arquivos de mídia e de log produzidos pela plataforma Justice AV, de acordo com pesquisadores da Rapid7, que divulgaram suas descobertas hoje.
Assim que instalado, o instalador do RustDoor permite que os adversários assumam completamente o controle dos sistemas infectados, conforme relatado. O visualizador estava disponível para download no site do fornecedor, e era distribuído como um pacote de instalação baseado em Windows que solicitava privilégios elevados durante a execução, explicaram os pesquisadores.
RustDoor foi descoberto pela primeira vez em dezembro de 2023, visando máquinas macOS. A versão para Windows, também conhecida como GateDoor e escrita em Golang em vez de Rust, foi encontrada pouco depois, de acordo com os pesquisadores por trás de sua descoberta. Voltando às suas origens, RustDoor e GateDoor foram utilizados em ciberataques de cadeia de suprimentos disfarçados como software legítimo. Campanhas passadas do RustDoor foram relacionadas ao grupo de ransomware ALPHV/BlackCat.
As primeiras versões maliciosas dos pacotes do JAVS Viewer surgiram em fevereiro de 2021, e a Rapid7 começou a investigar o assunto em 10 de maio de 2024.
JAVS removeu os arquivos do visualizador corrompidos e informou à Rapid7 que “nenhum código-fonte, certificados, sistemas ou outros lançamentos de software foram comprometidos neste incidente”.
Os clientes do software da Justice AV Solutions não devem apenas excluir e substituir o software, mas também reimagem completamente os pontos finais afetados, recomendou a Rapid7, além de redefinir as credenciais. Os usuários do JAVS Viewer v8.3.7 estão em “alto risco e devem tomar medidas imediatas”, alertaram os pesquisadores.
Embora o malware RustDoor não esteja mais se espalhando pela plataforma JAVS, a Rapid7 observou que os adversários por trás do ataque à cadeia de suprimentos estão continuamente atualizando e aprimorando sua infraestrutura de comando e controle (C2).