ArechClient2

🔍 Contexte Publié le 24 septembre 2026 par Xiaopeng Zhang (FortiGuard Labs / FGIR), cet article présente l’analyse technique d’un incident impliquant une variante de SectopRAT (alias ArechClient2), un RAT .NET dissimulé dans un logiciel audio légitime développé par une entreprise italienne. 🧩 Vecteur d’infection et structure malveillante Le dossier malveillant, localisé sous C:\ProgramData (hors du répertoire d’installation normal), contient : ReportDump.exe : composant légitime du logiciel, configuré comme tâche planifiée Windows FrameworkBase.dll : falsifiée pour importer sdkcra.dll via modification de l’IAT sdkcra.dll : DLL d’entrée malveillante Activation.Desktop.db : contient du code ASM chiffré pool.db : contient le payload SectopRAT chiffré L’analyse exclut une attaque de la chaîne d’approvisionnement : le logiciel légitime a été modifié localement sans compromission du fournisseur. ...

Elastic Security Labs a détecté une augmentation des campagnes utilisant la technique ClickFix, une méthode d’ingénierie sociale qui incite les utilisateurs à exécuter du code malveillant via des commandes PowerShell. Cette technique est exploitée pour déployer des Remote Access Trojans (RATs) et des malware voleurs d’informations. Le rapport met en lumière l’utilisation de GHOSTPULSE, un chargeur de payloads multi-étapes, pour introduire des versions mises à jour de malwares tels que ARECHCLIENT2. Cette campagne commence par un leurre ClickFix, suivi du déploiement de GHOSTPULSE, qui charge ensuite un loader .NET intermédiaire pour finalement injecter ARECHCLIENT2 en mémoire. ...