Le malware Sarwent ouvre des ports RDP sur un ordinateur infecté

Les enquêtes de sécurité ont trouvé des logiciels malveillants qui ouvrent des ports de bureau à distance sur le pare-feu. Les ports RDP (Remote desktop) sont configurés, ce qui permet aux attaquants d'abuser plus facilement des ports RDP par la suite.

Le malware Sarwent est utilisé depuis 2018. Au début de 2020, Vitali Kwemez a envoyé un tweet sur le malware Sarwent mais il y a peu d'informations sur le malware Sarwent sur Internet.

La manière dont le malware Sarwent se propage n'est pas entièrement connue ; on soupçonne que Sarwent se propage via d'autres logiciels malveillants, éventuellement dans des botnets.

Ce que l'on sait de Sarwent, c'est qu'après l'infection, le logiciel malveillant crée un nouveau Windows compte utilisateur sur l'ordinateur et ouvre le port RDP 3389 sur l'ordinateur et dans le pare-feu. RDP sera très probablement ouvert afin d'accéder ultérieurement à l'ordinateur infecté via le Windows compte d'utilisateur.

Les adresses IP Sarwent, les hachages MD5 et les domaines sont connus de Sarwent, ces détails sont distribués aux IOC (indicateurs de compromission) pour que les entreprises détectent Sarwent.