VBScripts distribuídos via WhatsApp abusam do RMM chinês Ping32 para entregar o ValleyRAT
A Netresec analisou uma campanha em que VBScripts maliciosos, distribuídos por mensagens diretas do WhatsApp, instalavam a ferramenta legítima de RMM Ping32 (Shandong Anzai) como estágio intermediário para entregar o ValleyRAT. A análise de tráfego de rede identificou o protocolo customizado Gh0stKCP sobre UDP usado pelo C2 do malware.
A cadeia de infecção começou com um VBScript disfarçado de formulário administrativo (com nome em alemão relacionado a isenção de IVA), distribuído diretamente via WhatsApp — vetor de entrega que foge do phishing por e-mail tradicional e se apoia na confiança de mensagens diretas em apps de mensageria. O script baixava um dropper hospedado em um bucket do Backblaze B2, serviço de armazenamento em nuvem legítimo frequentemente abusado por operadores de malware por ser difícil de bloquear sem impactar tráfego benigno.
O dropper instalava o NSecRTS.exe, executável da ferramenta comercial de RMM (Remote Monitoring and Management) Ping32, da empresa chinesa Shandong Anzai — um caso de "living-off-trusted-software", em que uma ferramenta legítima de administração remota é reaproveitada como RAT, dificultando a detecção por antivírus que a trata como software confiável. A partir do controle estabelecido pelo Ping32, os pesquisadores identificaram pivotagem de rede para outro IP servindo uma segunda amostra classificada como DonutLoader/ValleyRAT, que se comunicava usando Gh0stKCP — variante do protocolo Gh0st RAT transportada sobre KCP/UDP, escolhida por ser mais resiliente a perda de pacotes e menos comum em assinaturas de IDS tradicionais.
O caso ilustra duas tendências relevantes para forense de rede e resposta a incidentes: primeiro, o abuso crescente de ferramentas RMM legítimas como estágio intermediário de RATs, o que exige que equipes de detecção tratem instalações de RMM não solicitadas como indicador de comprometimento, mesmo quando o binário está assinado digitalmente; segundo, o uso de protocolos C2 baseados em UDP customizado (Gh0stKCP) que escapam de muitas regras de detecção focadas em TCP/HTTP. A identificação desses padrões dependeu de análise de pcap com ferramentas como CapLoader e FlowCarp, reforçando a importância de captura de tráfego bruto — não apenas logs de proxy — em investigações desse tipo.