NetSupport RAT

Οι τομείς της εκπαίδευσης, της κυβέρνησης και των επιχειρηματικών υπηρεσιών δέχονται επίθεση από παράγοντες απειλών που χρησιμοποιούν έναν trojan απομακρυσμένης πρόσβασης γνωστό ως NetSupport RAT. Αυτό το απειλητικό λογισμικό παρέχεται μέσω παραπλανητικών ενημερώσεων, λήψεων χωρίς καθυστέρηση, χρήσης προγραμμάτων φόρτωσης κακόβουλου λογισμικού όπως το GHOSTPULSE και διαφόρων τύπων καμπανιών ηλεκτρονικού ψαρέματος (phishing). Σε διάστημα λίγων μόλις εβδομάδων, οι ερευνητές της κυβερνοασφάλειας εντόπισαν πολυάριθμες μολύνσεις που συνδέονται με το NetSupport RAT.

Το NetSupport RAT ξεκίνησε ως νόμιμο εργαλείο

Παρόλο που το NetSupport Manager αρχικά χρησίμευε ως ένα νόμιμο εργαλείο απομακρυσμένης διαχείρισης σχεδιασμένο για τεχνική υποστήριξη, έχει επαναχρησιμοποιηθεί με κακόβουλο τρόπο από παράγοντες απειλών. Εκμεταλλεύονται το εργαλείο ως βάση για τη διεξαγωγή επακόλουθων επιθέσεων. Το NetSupport RAT αναπτύσσεται συνήθως στον υπολογιστή του θύματος μέσω παραπλανητικών ιστότοπων και δόλιων ενημερώσεων προγράμματος περιήγησης.

Το 2022, ερευνητές κυβερνοασφάλειας ανακάλυψαν μια στοχευμένη εκστρατεία επίθεσης που περιελάμβανε παραβιασμένους ιστότοπους WordPress. Αυτοί οι ιστότοποι χρησιμοποιήθηκαν για την προβολή ψεύτικων σελίδων προστασίας Cloudflare DDoS, οδηγώντας στη διάδοση του NetSupport RAT.

Πώς το NetSupport RAT μολύνει στοχευμένες συσκευές;

Η ανάπτυξη πλαστών ενημερώσεων προγράμματος περιήγησης Ιστού είναι μια στρατηγική που συνήθως συνδέεται με τη χρήση ενός κακόβουλου λογισμικού λήψης που βασίζεται σε JavaScript που ονομάζεται SocGholish (γνωστό και ως FakeUpdates). Αυτή η παραλλαγή κακόβουλου λογισμικού έχει επίσης παρατηρηθεί να διαδίδει ένα κακόβουλο λογισμικό φορτωτή που προσδιορίζεται ως BLISTER .

Στη συνέχεια, το ωφέλιμο φορτίο JavaScript ενεργοποιεί το PowerShell για να δημιουργήσει μια σύνδεση με έναν απομακρυσμένο διακομιστή, λαμβάνοντας ένα αρχείο αρχείου ZIP που περιέχει το NetSupport RAT. Κατά την εγκατάσταση, αυτός ο RAT αρχίζει να επικοινωνεί με έναν διακομιστή Command-and-Control (C2, C&C).

Μόλις εγκατασταθεί πλήρως στη συσκευή του θύματος, το NetSupport αποκτά τη δυνατότητα να παρακολουθεί δραστηριότητες, να μεταφέρει αρχεία, να χειρίζεται διαμορφώσεις υπολογιστή και να μετακινείται πλευρικά σε άλλες συσκευές εντός του δικτύου.

Οι RAT (Trojan Remote Access) είναι μεταξύ των πιο επιβλαβών απειλών κακόβουλου λογισμικού

Οι RAT θεωρούνται από τις πιο επιζήμιες απειλές κακόβουλου λογισμικού λόγω της ικανότητάς τους να παρέχουν μη εξουσιοδοτημένη πρόσβαση και έλεγχο στον υπολογιστή ή το δίκτυο του θύματος. Ακολουθούν διάφοροι λόγοι για τους οποίους οι RAT ενέχουν σημαντικούς κινδύνους:

• Μη εξουσιοδοτημένη πρόσβαση και έλεγχος : Οι RAT επιτρέπουν στους εισβολείς να αποκτήσουν τον πλήρη έλεγχο ενός στοχευμένου συστήματος από απόσταση. Αυτό το επίπεδο πρόσβασης τους επιτρέπει να εκτελούν διάφορες κακόβουλες δραστηριότητες χωρίς τη γνώση ή τη συγκατάθεση του χρήστη.
• Stealthy Operation : Οι RAT έχουν σχεδιαστεί για να λειτουργούν κρυφά, συχνά αποφεύγοντας τον εντοπισμό με παραδοσιακά μέτρα ασφαλείας. Η κρυφή φύση τους τους επιτρέπει να παραμένουν απαρατήρητοι για παρατεταμένες περιόδους, δίνοντας στους επιτιθέμενους άφθονο χρόνο για να πραγματοποιήσουν τους κακόβουλους στόχους τους.
• Κλοπή δεδομένων και κατασκοπεία : Οι RAT μπορούν να χρησιμοποιηθούν για τη συλλογή ευαίσθητων πληροφοριών, όπως προσωπικά δεδομένα, διαπιστευτήρια σύνδεσης, οικονομικές πληροφορίες και πνευματική ιδιοκτησία. Αυτά τα δεδομένα που συλλέγονται μπορούν να αξιοποιηθούν για οικονομικό όφελος, εταιρική κατασκοπεία ή περαιτέρω επιθέσεις στον κυβερνοχώρο.
• Επιτήρηση και παρακολούθηση : Οι αρουραίοι επιτρέπουν την παρακολούθηση των δραστηριοτήτων ενός θύματος σε πραγματικό χρόνο. Οι εισβολείς μπορούν να παρακολουθούν τα πλήκτρα, να τραβούν στιγμιότυπα οθόνης, να έχουν πρόσβαση σε αρχεία, ακόμη και να ενεργοποιούν κάμερες και μικρόφωνα, οδηγώντας σε σοβαρή παραβίαση της ιδιωτικής ζωής.
• Εμμονή : Οι RAT έχουν σχεδιαστεί συχνά για να διατηρούν την ανθεκτικότητα σε μολυσμένα συστήματα, διασφαλίζοντας ότι συνεχίζουν να λειτουργούν ακόμη και μετά από επανεκκινήσεις ή σαρώσεις λογισμικού ασφαλείας. Αυτή η ανθεκτικότητα καθιστά δύσκολη την πλήρη αφαίρεσή τους.
• Διάδοση και πλευρική κίνηση : Μόλις ένα σύστημα παραβιαστεί, οι RAT μπορούν να διευκολύνουν την πλευρική κίνηση σε ένα δίκτυο, μολύνοντας πολλές συσκευές. Αυτή η ικανότητα επιτρέπει στους επιτιθέμενους να επεκτείνουν τον έλεγχό τους και ενδεχομένως να προκαλέσουν εκτεταμένη ζημιά.
• Διευκόλυνση πρόσθετων επιθέσεων : Οι RAT μπορούν να χρησιμεύσουν ως πύλη για άλλους τύπους κακόβουλου λογισμικού ή προηγμένες επίμονες απειλές (APT). Οι εισβολείς μπορούν να χρησιμοποιήσουν το παραβιασμένο σύστημα ως σημείο εκκίνησης για περαιτέρω επιθέσεις, καθιστώντας την αρχική παραβίαση ένα κρίσιμο σημείο ευπάθειας.
• Χρήση σε στοχευμένες επιθέσεις : Οι RAT χρησιμοποιούνται συχνά σε στοχευμένες επιθέσεις εναντίον συγκεκριμένων ατόμων, οργανισμών ή βιομηχανιών. Η προσαρμογή και η προσαρμοστικότητά τους τα καθιστούν πολύτιμα εργαλεία για εγκληματίες του κυβερνοχώρου με συγκεκριμένους στόχους.

Συνολικά, ο συνδυασμός της μυστικότητας, της επιμονής και του ευρέος φάσματος δυνατοτήτων που σχετίζονται με τους RAT τους καθιστά ιδιαίτερα επικίνδυνους και αποτελούν σημαντική ανησυχία για τους επαγγελματίες και τους οργανισμούς στον τομέα της κυβερνοασφάλειας. Η πρόληψη, η ανίχνευση και ο μετριασμός των επιπτώσεων των λοιμώξεων από RAT απαιτεί ισχυρά μέτρα κυβερνοασφάλειας και συνεχή επαγρύπνηση.