Comment supprimer le malware QuimaRAT du système d'exploitation

Quel type de malware est QuimaRAT ?

QuimaRAT est un cheval de Troie d'accès à distance (RAT) basé sur Java, vendu aux cybercriminels sous forme de service par abonnement. Ce modèle, connu sous le nom de Malware-as-a-Service (MaaS), permet à quiconque paie les frais de déployer le RAT contre les cibles de son choix.

Selon les recherches publiées par l'équipe SpiderLabs de LevelBlue, QuimaRAT cible Windows, macOS et Linux. Il donne aux opérateurs un contrôle total à distance sur les appareils infectés et peut voler des mots de passe, enregistrer les frappes clavier et accéder à la webcam et au microphone de la victime.

Le malware est commercialisé sous le nom de « QuimaRAT v2.0 » sur les forums du dark web. Sous Windows, il s'exécute de manière totalement dissimulée, sans fenêtre visible, sans icône dans la zone de notification et sans aucune trace de son activité que la victime pourrait remarquer.

Vue d'ensemble de QuimaRAT

QuimaRAT repose sur une architecture modulaire qui permet aux opérateurs d'étendre ses capacités grâce à des plugins chiffrés. Il se connecte au serveur de commande et de contrôle de l'attaquant via TCP, WebSocket, TLS ou HTTPS, avec un composant watchdog qui maintient la connexion active.

La suite complète comprend quatre composants : Quima Control (le RAT lui-même), Quima Builder, Quima Loader et Quima Dropper. Le Loader met en place des charges utiles via le cache du navigateur, se fondant parmi les fichiers auxquels le système d'exploitation fait déjà confiance afin d'éviter la détection par les logiciels de sécurité.

Le RAT est écrit en Java et construit avec Apache Maven, les paramètres de l'opérateur étant stockés dans un fichier de configuration chiffré. Au démarrage, il vérifie la présence d'environnements de type sandbox ou machine virtuelle et peut modifier son comportement en conséquence, rendant l'analyse automatisée plus difficile.

Capacités de QuimaRAT

QuimaRAT est livré avec plus de 70 modules pour Windows et 44 pour macOS et Linux. Les fonctionnalités principales de contrôle à distance incluent l'accès bureau à distance, le HVNC (un canal caché de contrôle d'écran), la capture de la webcam et du microphone, le keylogging en temps réel et la prise de captures d'écran.

Un module intégré de vol d'identifiants récupère les mots de passe et les jetons dans plus de 14 catégories. Cela couvre les données de connexion enregistrées dans Chrome, Firefox et des navigateurs similaires, ainsi que Discord, Steam et divers portefeuilles de cryptomonnaie et extensions de navigateur de portefeuille.

Les opérateurs peuvent également parcourir et gérer les fichiers du système infecté, exécuter des commandes via un shell distant, afficher ou terminer des processus, et acheminer le trafic grâce aux fonctionnalités de proxy inverse et de redirection de port.

Le malware prend en outre en charge l'injection de DLL et peut télécharger et exécuter des charges utiles supplémentaires à la demande. Il inclut un clipper crypto intégré qui surveille le presse-papiers et remplace silencieusement les adresses de portefeuille de cryptomonnaie copiées par celles appartenant à l'attaquant.

Persistance et évasion des défenses

QuimaRAT établit la persistance différemment sur chaque plateforme prise en charge. Sous Windows, il écrit dans les clés Run du Registre Windows, crée des tâches planifiées et ajoute des entrées aux dossiers de démarrage. Sous Linux, il utilise des tâches de redémarrage crontab et des entrées d'autostart du bureau. Sous macOS, il installe des fichiers plist LaunchAgent.

Pour entraver la détection et la suppression, le malware peut désactiver Windows Defender et le pare-feu, et contourner le Contrôle de compte d'utilisateur. Il applique l'obfuscation ProGuard et le chiffrement des chaînes AES-256 pour ralentir la rétro-ingénierie. Les opérateurs peuvent également activer une option basée sur Pastebin pour faire tourner les adresses des serveurs C2.

Le Quima Builder empaquette l'implant dans douze formats de sortie, dont JAR, EXE, APP, SH, BAT, VBS et des binaires natifs. Le même RAT central peut donc être déployé sur les trois plateformes prises en charge sans aucune modification du code.

Tarification de QuimaRAT

QuimaRAT est vendu selon un modèle d'abonnement à plusieurs niveaux. Les prix sont de 150 $ par mois, 300 $ pour trois mois, 500 $ pour six mois, 700 $ pour douze mois, ou 1 200 $ pour une licence à vie. Il est proposé sur les forums cybercriminels du dark web aux côtés d'outils MaaS similaires.

Conclusion

QuimaRAT offre aux cybercriminels une vaste panoplie d'outils pour le contrôle à distance, le vol d'identifiants, le détournement du presse-papiers et le déploiement de malwares supplémentaires. Sa conception furtive et ses fonctionnalités anti-détection font que la plupart des victimes n'ont aucune indication que le malware est en cours d'exécution. Si QuimaRAT se trouve sur votre système, il doit être supprimé immédiatement.

D'autres exemples de RAT sont msaRAT, Dolphin X et Starland.

Comment QuimaRAT s'est-il infiltré dans mon ordinateur ?

Les chercheurs de LevelBlue SpiderLabs, Chen Aviani et Nikita Kazymirskyi, ont documenté que QuimaRAT est vendu sur les forums du dark web sous forme de service par abonnement. Les opérateurs achètent l'accès et utilisent le Quima Builder pour produire leurs propres charges utiles, puis les distribuent par les méthodes de leur choix.

Aucune campagne active spécifique n'a été publiquement identifiée au moment de la rédaction, de sorte que la méthode de diffusion dans un incident donné dépend de l'opérateur individuel. Les options courantes incluent les e-mails de phishing comportant des pièces jointes malveillantes, les fausses pages de téléchargement de logiciels, et les paquets de logiciels piratés ou crackés.

Les malwares de ce type se propagent également via la publicité malveillante, les sites de téléchargement non officiels et l'ingénierie sociale. Comme le builder prend en charge douze formats de sortie (dont EXE, JAR, VBS et SH), les charges utiles de QuimaRAT peuvent être empaquetées pour ressembler à presque n'importe quel type de fichier.

Comment éviter l'installation de malwares ?

Téléchargez des logiciels uniquement à partir des sites web officiels des développeurs et des boutiques d'applications vérifiées. Ignorez les e-mails non sollicités comportant des pièces jointes ou des liens provenant d'expéditeurs inconnus. N'utilisez jamais de logiciels piratés, de générateurs de clés ou de cracks de logiciels, car ils servent régulièrement de vecteur pour des malwares cachés.

Maintenez votre système d'exploitation et toutes les applications installées à jour, et exécutez un logiciel antivirus ou anti-malware réputé. Soyez prudent avec les notifications de navigateur provenant de sites web inconnus. Si vous pensez que votre ordinateur est déjà infecté, nous vous recommandons d'effectuer une analyse avec Combo Cleaner Antivirus pour Windows pour éliminer automatiquement les malwares infiltrés.

Annonce promotionnelle de QuimaRAT sur les forums de hackers (source : levelblue.com) :

Suppression automatique et instantanée des maliciels :

La suppression manuelle des menaces peut être un processus long et compliqué qui nécessite des compétences informatiques avancées. Combo Cleaner est un outil professionnel de suppression automatique des maliciels qui est recommandé pour se débarrasser de ces derniers. Téléchargez-le en cliquant sur le bouton ci-dessous :

En téléchargeant n'importe quel logiciel listé sur ce site web vous acceptez notre Politique de Confidentialité et nos Conditions d’Utilisation. Pour utiliser le produit complet, vous devez acheter une licence pour Combo Cleaner. 7 jours d’essai limité gratuit disponible. Combo Cleaner est détenu et exploité par RCS LT, la société mère de PCRisk.

Menu rapide :

• Qu'est-ce que QuimaRAT ?
• ÉTAPE 1. Suppression manuelle du malware QuimaRAT.
• ÉTAPE 2. Vérifiez si votre ordinateur est propre.

Comment supprimer un malware manuellement ?

La suppression manuelle des malwares est une tâche compliquée - il est généralement préférable de laisser les programmes antivirus ou anti-malware le faire automatiquement. Pour supprimer ce malware, nous recommandons d'utiliser Combo Cleaner Antivirus pour Windows.

Si vous souhaitez supprimer un malware manuellement, la première étape consiste à identifier le nom du malware que vous essayez de supprimer. Voici un exemple de programme suspect en cours d'exécution sur l'ordinateur d'un utilisateur :

Si vous avez vérifié la liste des programmes en cours d'exécution sur votre ordinateur, par exemple à l'aide du gestionnaire des tâches, et identifié un programme qui semble suspect, vous devez poursuivre avec ces étapes :

Téléchargez un programme appelé Autoruns. Ce programme affiche les applications à démarrage automatique, le Registre et les emplacements du système de fichiers :

Redémarrez votre ordinateur en Mode sans échec :

Utilisateurs de Windows XP et Windows 7 : Démarrez votre ordinateur en Mode sans échec. Cliquez sur Démarrer, cliquez sur Arrêter, cliquez sur Redémarrer, cliquez sur OK. Pendant le processus de démarrage de votre ordinateur, appuyez plusieurs fois sur la touche F8 de votre clavier jusqu'à ce que le menu Options avancées de Windows apparaisse, puis sélectionnez Mode sans échec avec prise en charge réseau dans la liste.

Vidéo montrant comment démarrer Windows 7 en « Mode sans échec avec prise en charge réseau » :

Utilisateurs de Windows 8 : Démarrez Windows 8 en Mode sans échec avec prise en charge réseau - Allez sur l'écran d'accueil de Windows 8, tapez Avancé, dans les résultats de recherche sélectionnez Paramètres. Cliquez sur Options de démarrage avancées, dans la fenêtre « Paramètres généraux du PC » ouverte, sélectionnez Démarrage avancé.

Cliquez sur le bouton « Redémarrer maintenant ». Votre ordinateur va maintenant redémarrer dans le « Menu des options de démarrage avancées ». Cliquez sur le bouton « Dépannage », puis cliquez sur le bouton « Options avancées ». Dans l'écran des options avancées, cliquez sur « Paramètres de démarrage ».

Cliquez sur le bouton « Redémarrer ». Votre PC redémarrera dans l'écran Paramètres de démarrage. Appuyez sur F5 pour démarrer en Mode sans échec avec prise en charge réseau.

Vidéo montrant comment démarrer Windows 8 en « Mode sans échec avec prise en charge réseau » :

Utilisateurs de Windows 10 : Cliquez sur le logo Windows et sélectionnez l'icône Alimentation. Dans le menu ouvert, cliquez sur « Redémarrer » tout en maintenant la touche « Maj » de votre clavier. Dans la fenêtre « choisir une option », cliquez sur « Dépannage », puis sélectionnez « Options avancées ».

Dans le menu des options avancées, sélectionnez « Paramètres de démarrage » et cliquez sur le bouton « Redémarrer ». Dans la fenêtre suivante, vous devez appuyer sur la touche « F5 » de votre clavier. Cela redémarrera votre système d'exploitation en mode sans échec avec prise en charge réseau.

Vidéo montrant comment démarrer Windows 10 en « Mode sans échec avec prise en charge réseau » :

Extrayez l'archive téléchargée et exécutez le fichier Autoruns.exe.

Dans l'application Autoruns, cliquez sur « Options » en haut et décochez les options « Hide Empty Locations » et « Hide Windows Entries ». Après cette procédure, cliquez sur l'icône « Refresh ».

Vérifiez la liste fournie par l'application Autoruns et localisez le fichier de malware que vous souhaitez éliminer.

Vous devez noter son chemin complet et son nom. Notez que certains malwares cachent les noms de processus sous des noms de processus Windows légitimes. À ce stade, il est très important d'éviter de supprimer des fichiers système. Après avoir localisé le programme suspect que vous souhaitez supprimer, faites un clic droit sur son nom et choisissez « Delete ».

Après avoir supprimé le malware via l'application Autoruns (cela garantit que le malware ne s'exécutera pas automatiquement au prochain démarrage du système), vous devez rechercher le nom du malware sur votre ordinateur. Assurez-vous d'activer les fichiers et dossiers cachés avant de continuer. Si vous trouvez le nom de fichier du malware, veillez à le supprimer.

Redémarrez votre ordinateur en mode normal. En suivant ces étapes, vous devriez supprimer tout malware de votre ordinateur. Notez que la suppression manuelle des menaces nécessite des compétences informatiques avancées. Si vous ne disposez pas de ces compétences, laissez la suppression des malwares aux programmes antivirus et anti-malware.

Ces étapes peuvent ne pas fonctionner avec des infections de malwares avancées. Comme toujours, il est préférable de prévenir l'infection plutôt que d'essayer de supprimer le malware ultérieurement. Pour protéger votre ordinateur, installez les dernières mises à jour du système d'exploitation et utilisez un logiciel antivirus. Pour vous assurer que votre ordinateur est exempt d'infections de malwares, nous vous recommandons de l'analyser avec Combo Cleaner Antivirus pour Windows.

Foire aux questions (FAQ)

Mon ordinateur est infecté par le malware QuimaRAT, dois-je formater mon périphérique de stockage pour m'en débarrasser ?

Le formatage supprimera QuimaRAT, mais il effacera également tous les fichiers du disque. Un outil de sécurité réputé tel que Combo Cleaner devrait être essayé en premier, car il peut éliminer le malware sans détruire vos données.

Quels sont les problèmes les plus importants que le malware QuimaRAT peut causer ?

QuimaRAT peut permettre aux attaquants de prendre le contrôle total à distance d'un appareil infecté, de voler des mots de passe et des jetons de session, de détourner des transactions de cryptomonnaie par remplacement du presse-papiers, et de déployer des malwares supplémentaires. Les conséquences incluent l'usurpation d'identité, la fraude financière et la perte d'accès aux comptes.

Quel est le but du malware QuimaRAT ?

QuimaRAT est conçu pour donner à ses opérateurs le contrôle à distance des ordinateurs infectés. Il vole également des identifiants et des jetons, redirige les entrées du presse-papiers de cryptomonnaie vers le portefeuille de l'attaquant, et peut servir de plateforme pour diffuser d'autres malwares sur le système de la victime.

Comment le malware QuimaRAT s'est-il infiltré dans mon ordinateur ?

QuimaRAT est vendu via les forums du dark web sous forme de service par abonnement, de sorte que la méthode de diffusion dépend de l'opérateur qui l'achète. Les vecteurs courants incluent les e-mails de phishing, les fausses pages de téléchargement de logiciels, et les paquets de logiciels crackés ou piratés contenant des charges utiles cachées.

Combo Cleaner me protégera-t-il des malwares ?

Oui. Combo Cleaner peut détecter et supprimer la plupart des malwares connus, y compris des menaces comme QuimaRAT. Comme les RAT peuvent s'intégrer dans plusieurs emplacements du système, exécuter une analyse complète du système est le meilleur moyen de s'assurer qu'aucun composant ne reste sur votre appareil.