Il payload si nasconde in un VHDX che Windows monta da solo
La prima difesa a cadere non è il RAT, ma la fiducia negli allegati e nei processi lineari. Qui il punto debole è il contenitore: un ZIP porta dentro un VHDX che Windows monta automaticamente, e da lì parte una catena di script che passa per WMI invece di aprire un PowerShell diretto, così molte regole di prima linea vedono solo un comportamento di sistema apparentemente normale.
SANS descrive un campione Remcos con più stadi di offuscamento: JavaScript nascosto nei commenti, avvio di PowerShell tramite WMI e ricostruzione delle stringhe per mascherare il flusso. Il risultato è che il file scanning e gli alert basati sul rapporto genitore-figlio possono perdere l’esecuzione iniziale, anche se il payload finale è un RAT ben noto.
La tecnica non introduce un nuovo malware, ma ripropone un vecchio trucco di containerizzazione che torna utile proprio perché si appoggia a funzioni native di Windows. Per chi monitora email, endpoint e script delivery, il segnale da cercare è lo scarto tra un allegato innocuo in superficie e una sequenza di avvio che si sposta dentro VHDX e WMI prima che compaia il payload.