QuimaRAT: un RAT Java modulare sfida la segmentazione difensiva…

LevelBlue ha identificato QuimaRAT, un remote access trojan scritto in Java e venduto come malware-as-a-service a partire da 150 dollari al mese. Il 6 luglio 2026 la

{"main_topic":"malware","topics":["malware","cybersec","java","cross-platform","maas"]}

LevelBlue ha identificato QuimaRAT, un remote access trojan scritto in Java e venduto come malware-as-a-service a partire da 150 dollari al mese. Il 6 luglio 2026 la società di threat intelligence ha pubblicato l'analisi tecnica completa: il RAT sfrutta librerie JNA native per interagire con le API di basso livello di tre sistemi operativi, aggirando il presupposto difensivo che tratta Java come minaccia di secondo piano.

La novità non sta nel linguaggio ma nell'architettura. QuimaRAT dimostra che la combinazione di moduli Java con accesso nativo cross-platform, plugin criptati caricabili dinamicamente e un ecosistema di delivery che sfrutta meccanismi di trust del sistema operativo — non vulnerabilità zero-day — costituisce un vettore di attacco competitivo rispetto ai tradizionali implant C/C++.

Punti chiave

QuimaRAT è un RAT Java modulare con 74 moduli per Windows e 46 per macOS e Linux, secondo la fonte citata.
Il builder genera payload in 6 formati (JAR, EXE, APP, SH, BAT, VBS) e il Quima Loader bypassa SmartScreen di Windows usando la cache del browser.
La persistenza è OS-specifica: Registry Run e Scheduled Tasks su Windows, file .desktop e crontab su Linux, LaunchAgent plist su macOS.
Il modello MaaS prevede abbonamenti da 150 dollari mensili a 1.200 dollari lifetime, con infrastructure-as-code per la rotazione del C2 via Pastebin.

Da Java a JNA: come nasce l'accesso nativo cross-platform

QuimaRAT è organizzato come progetto Maven con librerie JNA (Java Native Access) native incorporate per Windows, Linux e macOS su diverse architetture. Chen Aviani e Nikita Kazymirsky di LevelBlue hanno osservato che "these native components allow the RAT to interact directly with low-level operating system APIs through C/C++ code, indicating intentional support for broad multi-platform deployment".

La scelta tecnica ha un effetto perverso sulle difese. Gli ambienti enterprise segmentano spesso il rischio per stack: Windows desktop sotto EDR, Linux server sotto monitoring file integrity, macOS developer spesso con profili più leggeri. Java attraversa queste barriere come runtime "sicuro", firmato e talvolta esentato da controlli stringenti. QuimaRAT sfrutta questa fiducia implicita per eseguire codice nativo con le stesse capacità di un implant C/C++, ma con superficie di attacco che ricalca i pattern legittimi dell'ecosistema aziendale.

Architettura modulare e C2 flessibile: il RAT come piattaforma

"Built around a modular architecture, the RAT supports dynamic capability expansion through encrypted plugins that can be delivered, loaded, unloaded, and updated directly from its command-and-control (C2) infrastructure" — LevelBlue

Il nucleo operativo si distingue per la separazione tra implant e capacità. Il malware stabilisce comunicazione con il server C2 via TCP, con fallback su WebSocket, TLS e HTTPS. Un watchdog integrato mantiene attivo il canale, mentre un meccanismo opzionale basato su Pastebin permette di aggiornare l'host C2 senza ricostruire e ridistribuire il payload. La fonte non specifica se questo meccanismo sia attivamente utilizzato o rimanga una capacità teorica.

Il builder della suite genera output in sei formati: JAR, EXE, APP, SH, BAT, VBS. Il Quima Builder supporta dieci vettori di delivery: XLL, LNK, VBS, JS, BAT, DOCM, XLSM, MSC, CPL, CHM. La molteplicità non è ornamentale: consente di adattare il delivery al contesto target senza modificare il core del malware, riducendo il costo operativo per gli acquirenti del servizio.

Evasione e persistenza: quando il sistema fidato diventa vettore

Quima Loader rappresenta il punto di contatto più insidioso con l'utente. Il meccanismo descritto da LevelBlue prevede il caricamento di una landing page, il caching del payload nel browser, e l'esecuzione del loader che legge il contenuto dalla cache: questo pattern sfrutta il trust implicito del sistema verso risorse già validate dalla navigazione, bypassando le protezioni SmartScreen di Windows.

La persistenza segue la stessa logica di adattamento OS-specifico. Su Windows: chiavi Registry Run, Scheduled Tasks, cartella Startup. Su Linux: file .desktop e voci crontab. Su macOS: LaunchAgent plist. Il dossier non specifica se la persistenza macOS richieda privilegi elevati per funzionalità come screen capture e input control, ma riporta esplicitamente che "complete stealth" su macOS dipende da tali permessi — a differenza degli scenari Windows e Linux dove la capacità è documentata come integrata.

L'evasione sandbox avviene tramite rilevamento dell'ambiente virtuale prima dell'esecuzione, con single-instance enforcement via lock file in directory temporanea. Su Windows, QuimaRAT supporta esecuzione fileless di shellcode.

Perche è importante

Il dossier non documenta misure correttive specifiche rilasciate da LevelBlue né indicazioni operative per la mitigazione. La fonte non specifica la natura dei dati esfiltrabili, il volume di campagne attive o la geografia degli operatori.

Quel che emerge con chiarezza è la direzione del MaaS: il prezzo di ingresso (150 dollari mensili) e la struttura a tier (fino a 1.200 dollari lifetime) abbassano la barriera per attori con competenze tecniche limitate. Il materiale promozionale citato da LevelBlue esplicita la strategia: "A RAT, a builder suite, a web loader, and an HTML dropper — each built around what Windows already trusts... Native execution paths, system-owned resources, clean outputs. AV sees nothing unusual. Neither does the user".

La natura cross-platform di QuimaRAT espone in modo uniforme ambienti eterogenei che spesso adottano difese differenziate e isolate. La fonte non conferma se il malware sia stato osservato in attacchi reali o se l'analisi si limiti a threat intelligence su campioni acquisiti. Mancano hash specifici per l'identificazione IOC.

Lettura: il paradosso della sicurezza per osmosi

QuimaRAT ripropone una tensione strutturale delle difese endpoint. Il runtime Java è percepito come benigno per ragioni storiche: sandboxing del bytecode, modello di sicurezza dichiarativo, assenza di puntatori arbitrari. Queste stesse caratteristiche lo rendono invisibile ai controlli che cercano anomalie nei pattern C/C++. L'aggiunta di JNA rompe il presupposto senza rompere il profilo: il processo rimane Java.exe, la firma rimane valida, la memoria allocata segue le convenzioni del runtime.

LevelBlue definisce QuimaRAT "a modular Java RAT platform rather than a single static implant". La formulazione sottolinea una transizione: il malware non è più un artefatto da rilevare, ma un servizio da monitorare attraverso il suo ecosistema — builder, infrastruttura C2, meccanismi di rotazione. La sfida per le difese non è tecnica in senso stretto, ma concettuale: ricalibrare il trust implicito verso runtime cross-platform che astraggono l'accesso nativo.

Le informazioni sono basate sull'advisory citato e aggiornate al momento della pubblicazione.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti