En ny, mere uhyggelig Gh0st RAT Malware hjemsøger globale cybermål

En ny, mere uhyggelig Gh0st RAT Malware hjemsøger globale cybermål

Tidsstempel: 30. november 2023 kl. 3:50

En ny variant af den berygtede "Gh0st RAT" malware er blevet identificeret i de seneste angreb rettet mod sydkoreanere og udenrigsministeriet i Usbekistan.

Den kinesiske gruppe "C.Rufus Security Team" først udgivet Gh0st RAT på det åbne web i marts 2008. Bemærkelsesværdigt er det stadig i brug i dag, især i og omkring Kina, omend i ændrede former.

Siden slutningen af ​​august, for eksempel, har en gruppe med stærke kinesiske forbindelser distribueret en modificeret Gh0st RAT kaldet "SugarGh0st RAT." Ifølge forskning fra Cisco Talos, dropper denne trusselsaktør varianten via JavaScript-snøret Windows-genveje, mens han distraherer mål med tilpassede lokkedokumenter.

Selve malwaren er stadig stort set det samme, effektive værktøj, som den nogensinde har været, selvom den nu har nogle nye mærkater, der hjælper med at snige sig forbi antivirussoftware.

SugarGh0st RAT's fælder

De fire prøver af SugarGh0st, sandsynligvis leveret via phishing, ankommer på målrettede maskiner som arkiver indlejret med Windows LNK-genvejsfiler. LNK'erne skjuler ondsindet JavaScript, som ved åbningen taber et lokkedokument - målrettet mod koreanske eller usbekiske regeringspublikum - og nyttelasten.

Ligesom dens stamfader - den kinesiske fjernadgangstrojaner, som først blev udgivet til offentligheden i marts 2008 - er SugarGh0st en ren, multiværktøjsspionagemaskine. Et 32-bit dynamisk linkbibliotek (DLL) skrevet i C++, det begynder med at indsamle systemdata og åbner derefter døren til fuld fjernadgang.

Angribere kan bruge SugarGh0st til at hente enhver information, de måtte ønske om deres kompromitterede maskine, eller starte, afslutte eller slette de processer, den kører. De kan bruge det til at finde, eksfiltrere og slette filer og slette eventuelle hændelseslogfiler for at maskere de resulterende retsmedicinske beviser. Bagdøren er udstyret med en keylogger, et skærmbillede, et middel til at få adgang til enhedens kamera og masser af andre nyttige funktioner til at manipulere musen, udføre native Windows-operationer eller blot køre vilkårlige kommandoer.

"Det, der bekymrer mig mest, er, hvordan det er specifikt designet til at omgå tidligere detektionsmetoder," siger Nick Biasini, Cisco Talos' outreach-chef. Med denne nye variant, specifikt, "anstrengte de sig for at gøre ting, der ville ændre den måde, som kernedetektion ville fungere på."

Det er ikke sådan, at SugarGh0st har nogen særligt nye undvigelsesmekanismer. Mindre æstetiske ændringer får det snarere til at se anderledes ud end tidligere varianter, såsom at ændre kommando-og-kontrol-kommunikationsprotokollen (C2), således at netværkspakkehovederne i stedet for 5 bytes reserverer de første 8 bytes som magiske bytes (en liste over filsignaturer, bruges til at bekræfte en fils indhold). "Det er bare en meget effektiv måde at forsøge at sikre, at dit eksisterende sikkerhedsværktøj ikke kommer til at opfange dette med det samme," siger Biasini.

Gh0st RAT's gamle tilholdssteder

Tilbage i september 2008 henvendte Dalai Lamas kontor sig til en sikkerhedsforsker (nej, dette er ikke begyndelsen på en dårlig joke).

Dets ansatte blev fyldt med phishing-e-mails. Microsoft-applikationer styrtede ned uden forklaring på tværs af organisationen. En munk mindes at se sin computer åbne Microsoft Outlook helt af sig selv, vedhæfte dokumenter til en e-mail og sende den e-mail til en ikke-genkendt adresse, alt sammen uden hans input.

En Gh0st RAT betamodels engelsksprogede brugergrænseflade; Kilde: Trend Micro EU via Wayback Machine

En Gh0st RAT betamodels engelsksprogede brugergrænseflade. Kilde: Trend Micro EU via Wayback Machine

Den trojanske, der blev brugt i den kinesiske militær-forbundne kampagne mod tibetanske munke, har bestået tidens prøve, siger Biasini, af et par grunde.

"Open source malware-familier lever længe, ​​fordi aktører får et fuldt funktionelt stykke malware, som de kan manipulere, som de finder passende. Det giver også folk, der ikke ved, hvordan man skriver malware til udnytte disse ting gratis, ”Forklarer han.

Gh0st RAT, tilføjer han, skiller sig især ud som "en meget funktionel, meget velbygget RAT."

Tidsstempel:

Mere fra Mørk læsning