Uma versão do Windows do instalador RustDoor está se espalhando através de um pacote de software audiovisual comprometido hospedado e distribuído por uma plataforma de gravação audiovisual utilizada em tribunais, cadeias, presídios, conselhos, salas de audiência e de palestras em todo o país.
Os atores maliciosos corromperam o Visualizador JAVS v8.3.7 da Justiça, que é utilizado para acessar arquivos de mídia e de registro produzidos pela plataforma JAVS, de acordo com pesquisadores da Rapid7, que divulgaram hoje seus achados sobre a campanha de ciberataque na cadeia de suprimentos.
Uma vez implantado, o instalador RustDoor permite que os adversários assumam completamente o controle dos sistemas infectados, de acordo com o relatório. O Visualizador estava disponível para download no site do fornecedor e é enviado como um pacote de instalação baseado no Windows que solicita privilégios elevados na execução, explicaram os pesquisadores.
A RustDoor foi descoberta pela primeira vez em dezembro de 2023 mirando máquinas macOS. A versão para Windows, também conhecida como GateDoor e escrita em Golang ao invés de Rust, foi encontrada logo em seguida, de acordo com os pesquisadores por trás de sua descoberta. Desde suas origens, a RustDoor e a GateDoor foram implantadas em ciberataques na cadeia de suprimentos disfarçados como software legítimo. Campanhas passadas da RustDoor foram ligadas ao grupo de ransomware ALPHV/BlackCat.
As primeiras versões maliciosas dos pacotes JAVS Viewer surgiram em fevereiro de 21 e a Rapid7 começou a investigar em 10 de maio.
A JAVS removeu os arquivos do Visualizador corrompidos e informou à Rapid7 que “nenhum código fonte, certificados, sistemas ou outros lançamentos de software foram comprometidos neste incidente”.
Os clientes do software da Justiça AV Solutions não devem apenas excluir e substituir o software, mas também reimagem completamente os endpoints afetados, recomendou a Rapid7, além de redefinir as credenciais. Os usuários do JAVS Viewer v8.3.7 estão em “alto risco e devem agir imediatamente”, alertaram os pesquisadores.
Embora o malware RustDoor não esteja mais se espalhando através da plataforma JAVS, a Rapid7 observou que os adversários por trás do ataque na cadeia de suprimentos estão continuamente atualizando e melhorando sua infraestrutura de comando e controle (C2).
