https://cyberveille.ch/tags/karstorat/ Recent content in KarstoRAT on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 11 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-11-quimarat-un-nouveau-rat-java-multiplateforme-vendu-en-maas-sur-le-dark-web/ Sat, 11 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-11-quimarat-un-nouveau-rat-java-multiplateforme-vendu-en-maas-sur-le-dark-web/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 25 juin 2026 par les chercheurs Chen Aviani et Nikita Kazymirskyi de LevelBlue (SpiderLabs Blog), cet article présente l&rsquo;analyse technique de <strong>QuimaRAT</strong>, un nouveau <strong>Remote Access Trojan (RAT) écrit en Java</strong>, ciblant simultanément <strong>Windows, macOS et Linux</strong>.</p> <h2 id="-description-du-malware">🧩 Description du malware</h2> <p><strong>QuimaRAT v2.0</strong> est commercialisé sur un forum du dark web en tant que <strong>Malware-as-a-Service (MaaS)</strong> avec les caractéristiques suivantes :</p> <ul> <li><strong>70+ modules</strong> disponibles</li> <li><strong>Chiffrement AES256</strong></li> <li>Revendiqué comme <strong>FUD (Fully Undetectable)</strong></li> <li>Interface graphique (<strong>GUI panel</strong>)</li> <li>Tarification par abonnement : 150 $ (1 mois), 300 $ (3 mois), 500 $ (6 mois), 700 $ (12 mois), 1 200 $ (accès à vie)</li> </ul> <h2 id="-architecture-technique">⚙️ Architecture technique</h2> <ul> <li>Organisé comme un <strong>projet Java modulaire Apache Maven</strong> (deux fichiers <code>pom.xml</code> distincts)</li> <li>Exécuté sur <strong>JVM Java SE 8</strong> via une archive JAR</li> <li>Contient des <strong>bibliothèques natives JNA (Java Native Access)</strong> pour Windows, Linux et macOS sur plusieurs architectures</li> <li>Chargement d&rsquo;un fichier de configuration chiffré <strong><code>config.dat</code></strong> embarqué dans le JAR, déchiffré via une <strong>routine XOR à clé répétée</strong></li> <li><strong>Vérification d&rsquo;instance unique</strong> via un fichier <code>.lock</code> dans le répertoire temporaire de l&rsquo;OS (Java <code>FileLock</code>)</li> <li>Vérifications anti-virtualisation et anti-analyse spécifiques à l&rsquo;OS avant exécution</li> <li><strong>Mécanismes de persistance</strong> spécifiques à chaque OS</li> </ul> <h2 id="-communications-c2">📡 Communications C2</h2> <ul> <li>Utilisation des commandes <strong>HANDSHAKE</strong> et <strong>HEARTBEAT</strong> pour maintenir des communications C2 résilientes</li> <li><strong>23 commandes implémentées</strong> confirmées par analyse statique</li> <li><strong>212 commandes de protocole uniquement</strong>, suggérant une capacité d&rsquo;extension via modules runtime, binaires uploadés ou payloads fileless</li> </ul> <h2 id="-type-darticle">📄 Type d&rsquo;article</h2> <p>Il s&rsquo;agit d&rsquo;une <strong>analyse technique</strong> publiée par un laboratoire de recherche en sécurité, dont le but principal est de documenter les capacités, l&rsquo;architecture et le fonctionnement de QuimaRAT pour la communauté CTI.</p>