De nieuwe Windows-malware AgtaBackup RAT heeft een geraffineerde methode ontwikkeld om computers binnen te dringen. De aanvallers maken gebruik van valse Microsoft Store-pagina's die zich voordoen als populaire videochatsoftware. Deze pagina's bootsen officiële Microsoft Store-vermeldingen na en hebben eerder gediend om schadelijke downloads te verbergen achter bekende merknamen.

Wanneer een gebruiker op de geadverteerde downloadknop klikt, kan dit leiden tot de download van een legitieme tool voor remote monitoring en beheer (RMM), zoals LogMeIn Resolve of ConnectWise ScreenConnect, in plaats van de verwachte applicatie. De installer is officieel ondertekend en de installatie lijkt op het eerste gezicht normaal te verlopen.

Na goedkeuring van een Windows Gebruikersaccountbeheer (UAC) prompt door de gebruiker, wordt de RMM-client op de achtergrond gekoppeld aan een door de aanvaller gecontroleerd account. De RMM-service draait met SYSTEM-rechten en maakt verbinding met de normale cloudinfrastructuur, terwijl het eindpunt wordt gekoppeld aan de tenant van de aanvallers. Dit verleent de aanvallers stille externe toegang, die kan worden gemaskeerd als normale ondersteuningsactiviteit.

Dit patroon vertoont gelijkenissen met eerdere legitieme misbruiken van RMM-tools, waarbij vertrouwde beheersoftware als brug wordt gebruikt voor een tweede fase payload. Hierdoor krijgen indringers een directe terminalsessie zonder de noodzaak om eerst een duidelijk kwaadaardig programma voor externe controle te implementeren.

Na een vertraging van uren of dagen, gebruiken de aanvallers deze sessie om een PowerShell-commando uit te voeren dat de AgtaBackup-installer downloadt en een stille MSI-installatie start. De AgtaBackup RAT wordt vervolgens geïnstalleerd als een verborgen SYSTEM-service, met een misleidende naam die suggereert dat deze gerelateerd is aan Windows-beveiliging. Twee geplande taken worden continu uitgevoerd, zowel elke minuut als bij het opstarten van het systeem.

Ter bescherming tegen verwijdering, kunnen deze componenten de malware binnen 60 seconden herstellen indien de service wordt gestopt of de bijbehorende directory wordt verwijderd, wat gedeeltelijke opschoning risicovol maakt.

De malware biedt mogelijkheden voor langdurige controle, diefstal van gegevens en surveillance. AgtaBackup RAT controleert elke twee seconden de status bij zijn controle-server en opent een WebSocket-kanaal voor live commando's.

Het systeem wordt geïnventariseerd en de malware kan PowerShell uitvoeren, bestanden verplaatsen, extra software installeren, schermafbeeldingen maken en een verborgen bureaublad bedienen voor heimelijke operaties. Deze werkruimte stelt aanvallers in staat om command shells te gebruiken zonder dat er een zichtbaar venster verschijnt voor de ingelogde gebruiker.

De malware richt zich specifiek op opgeslagen inloggegevens, cookies, geschiedenis, bladwijzers en andere profielgegevens van negen browserfamilies, waaronder Chrome, Edge, Firefox, Brave, Opera, Vivaldi, Chromium en Yandex.

Daarnaast start de malware een aparte keylogger die zich voordoet als een Windows-beveiligingsproces. Deze combinatie verhoogt het risico op accountovername, naast de risico's op diefstal van browsergegevens die bij andere RAT-operaties worden gezien.

Onderzoekers ontdekten dat de malware een Windows-instelling kan wijzigen om UAC-prompts van het beveiligde bureaublad te verwijderen, en vervolgens op afstand invoer in deze prompts kan injecteren. De malware verbergt zijn activiteiten verder door een restrictieve service permissie-instelling die de zichtbaarheid voor niet-SYSTEM gebruikers, inclusief lokale beheerders, beperkt.

Analisten van Palo Alto Networks Unit 42 hebben de malware geïdentificeerd aan de hand van campagneartefacten.

Beveiligingsteams wordt geadviseerd om niet-goedgekeurde RMM-inschrijvingen te onderzoeken, met name wanneer een RMM-proces PowerShell start om een MSI te downloaden, gevolgd door een stilzwijgend msiexec-commando. Ook wordt aangeraden om waarschuwingen te genereren voor herhaalde taakherstelservices, machine-niveau controle-instellingen, niet-ondertekende SYSTEM-processen die verschillende browser-opslagbestanden lezen en ongebruikelijk controleverkeer tijdens incidentrespons.

Deze werkwijze onderstreept het belang voor beveiligingsteams om onverwachte externe toegangsoftware te beoordelen op basis van de levering en het gedrag, en niet alleen op basis van het uiterlijk. Gebruikers dienen updates uitsluitend via officiële bronnen te verkrijgen.