Phần mềm độc hại Gh0st RAT mới, ma quái hơn ám ảnh các mục tiêu mạng toàn cầu

Phần mềm độc hại Gh0st RAT mới, ma quái hơn ám ảnh các mục tiêu mạng toàn cầu

Dấu thời gian: 30:2023 chiều ngày 3 tháng 50 năm XNUMX
Nút nguồn: 2987305

Một biến thể mới của phần mềm độc hại “Gh0st RAT” khét tiếng đã được xác định trong các cuộc tấn công gần đây nhắm vào người Hàn Quốc và Bộ Ngoại giao ở Uzbekistan.

Nhóm Trung Quốc “C.Rufus Security Team” lần đầu tiên phát hành Gh0st RAT trên Web mở vào tháng 2008 năm XNUMX. Đáng chú ý là nó vẫn còn được sử dụng cho đến ngày nay, đặc biệt là trong và xung quanh Trung Quốc, mặc dù ở dạng sửa đổi.

Ví dụ, kể từ cuối tháng 0, một nhóm có liên kết chặt chẽ với Trung Quốc đã phân phối Gh0st RAT được sửa đổi được coi là “SugarGhXNUMXst RAT”. Theo nghiên cứu từ Cisco Talos, kẻ đe dọa này thả biến thể thông qua các phím tắt Windows có JavaScript, đồng thời đánh lạc hướng các mục tiêu bằng các tài liệu mồi nhử tùy chỉnh.

Bản thân phần mềm độc hại này về cơ bản vẫn là công cụ hiệu quả, giống như trước đây, mặc dù giờ đây nó có một số đề can mới để giúp vượt qua phần mềm chống vi-rút.

Bẫy của SugarGh0st RAT

Bốn mẫu SugarGh0st, có khả năng được gửi qua lừa đảo, đến các máy được nhắm mục tiêu dưới dạng kho lưu trữ được nhúng với các tệp lối tắt Windows LNK. LNK ẩn JavaScript độc hại, khi mở sẽ làm rơi một tài liệu mồi nhử - nhắm mục tiêu đến khán giả chính phủ Hàn Quốc hoặc Uzbek - và tải trọng.

Giống như tiền thân của nó - Trojan truy cập từ xa có nguồn gốc từ Trung Quốc, được phát hành lần đầu tiên ra công chúng vào tháng 2008 năm 0 - SugarGh32st là một cỗ máy gián điệp sạch sẽ, đa công cụ. Thư viện liên kết động (DLL) XNUMX bit được viết bằng C++, bắt đầu bằng cách thu thập dữ liệu hệ thống, sau đó mở ra khả năng truy cập từ xa đầy đủ.

Những kẻ tấn công có thể sử dụng SugarGh0st để lấy bất kỳ thông tin nào chúng muốn về máy bị xâm nhập hoặc bắt đầu, chấm dứt hoặc xóa các quy trình mà máy đang chạy. Họ có thể sử dụng nó để tìm, lọc và xóa các tệp cũng như xóa mọi nhật ký sự kiện để che giấu bằng chứng pháp lý thu được. Cửa sau được trang bị keylogger, trình chụp màn hình, phương tiện truy cập vào camera của thiết bị và nhiều chức năng hữu ích khác để thao tác chuột, thực hiện thao tác Windows gốc hoặc đơn giản là chạy các lệnh tùy ý.

Nick Biasini, người đứng đầu bộ phận tiếp cận cộng đồng của Cisco Talos, cho biết: “Điều khiến tôi lo ngại nhất là cách nó được thiết kế đặc biệt để tránh các phương pháp phát hiện trước đó”. Đặc biệt, với biến thể mới này, “họ đã nỗ lực làm những việc có thể thay đổi cách hoạt động của tính năng phát hiện lõi”.

Không phải SugarGh0st có bất kỳ cơ chế trốn tránh đặc biệt mới nào. Thay vào đó, những thay đổi nhỏ về mặt thẩm mỹ làm cho nó trông khác với các biến thể trước đó, chẳng hạn như thay đổi giao thức truyền thông lệnh và điều khiển (C2) sao cho thay vì 5 byte, các tiêu đề gói mạng dành 8 byte đầu tiên dưới dạng byte ma thuật (danh sách các chữ ký tập tin, được sử dụng để xác nhận nội dung của tập tin). Biasini nói: “Đó chỉ là một cách rất hiệu quả để thử và đảm bảo rằng công cụ bảo mật hiện tại của bạn sẽ không phát hiện ra vấn đề này ngay lập tức”.

Những ám ảnh cũ của Gh0st RAT

Trở lại tháng 2008 năm XNUMX, văn phòng của Đức Đạt Lai Lạt Ma đã tiếp cận một nhà nghiên cứu bảo mật (không, đây không phải là khởi đầu của một trò đùa tồi tệ).

Nhân viên của nó đã bị tấn công bởi các email lừa đảo. Các ứng dụng của Microsoft gặp sự cố mà không có lời giải thích trong toàn tổ chức. Một nhà sư nhớ lại xem máy tính của anh ấy tự mở Microsoft Outlook, đính kèm tài liệu vào email và gửi email đó đến một địa chỉ không được nhận dạng, tất cả đều không có sự nhập liệu của anh ấy.

Giao diện người dùng tiếng Anh của mô hình Gh0st RAT beta; Nguồn: Trend Micro EU qua Wayback Machine

Giao diện người dùng bằng tiếng Anh của mô hình Gh0st RAT beta. Nguồn: Trend Micro EU qua Wayback Machine

Biasini cho biết, Trojan được sử dụng trong chiến dịch liên kết quân sự của Trung Quốc chống lại các tu sĩ Tây Tạng đã đứng vững trước thử thách của thời gian vì một số lý do.

“Các nhóm phần mềm độc hại nguồn mở tồn tại lâu dài vì các tác nhân có được một phần mềm độc hại có đầy đủ chức năng mà họ có thể thao túng khi thấy phù hợp. Nó cũng cho phép những người không biết cách viết phần mềm độc hại vào tận dụng nội dung này miễn phí," anh ấy giải thích.

Ông cho biết thêm, Gh0st RAT đặc biệt nổi bật là “một RAT rất hữu dụng, được xây dựng rất tốt”.

Dấu thời gian:

Thêm từ Đọc tối