PY#RATION ราษฏร
แคมเปญการโจมตีครั้งใหม่ถูกจับได้ การดำเนินการคุกคามนี้ใช้มัลแวร์ใหม่ที่ใช้ Python ขนานนามว่า PY#RATION RAT ตามปกติในกรณีของโทรจันการเข้าถึงระยะไกล (RATs) เหล่านี้ PY#RATION มีชุดความสามารถที่เป็นอันตรายที่ครอบคลุม รวมถึงการกรองข้อมูลและการล็อกคีย์ สิ่งที่ทำให้ภัยคุกคามนี้ไม่เหมือนใครคือการใช้ WebSockets สำหรับทั้งการสื่อสารและการกรองแบบ Command-and-Control (C2, C&C) ตลอดจนความสามารถในการหลบเลี่ยงการตรวจจับจากโซลูชั่นป้องกันมัลแวร์และมาตรการรักษาความปลอดภัยเครือข่าย
รายละเอียดเกี่ยวกับ PY#RATION RAT ได้รับการเปิดเผยในรายงานโดยนักวิจัยด้านความปลอดภัยในโลกไซเบอร์ อาชญากรไซเบอร์ที่อยู่เบื้องหลังภัยคุกคามส่วนใหญ่มุ่งเน้นไปที่เป้าหมายในสหราชอาณาจักรหรืออเมริกาเหนือ โดยพิจารณาจากเหยื่อฟิชชิ่งที่ใช้เป็นส่วนหนึ่งของการโจมตี
สายโจมตีของ PY#RATION
การโจมตีเริ่มต้นด้วยอีเมลฟิชชิ่งหลอกลวงที่มีไฟล์ ZIP ภายในไฟล์เก็บถาวรมีไฟล์ทางลัด (.LNK) สองไฟล์ ซึ่งวางตัวเป็นภาพด้านหน้าและด้านหลังของใบขับขี่สหราชอาณาจักรของแท้ เมื่อเปิดไฟล์ .LNK แต่ละไฟล์ ไฟล์ข้อความสองไฟล์จะถูกดึงมาจากเซิร์ฟเวอร์ระยะไกล จากนั้นจึงบันทึกเป็นไฟล์ .BAT
ในขณะที่เหยื่อแสดงภาพล่อ ไฟล์ที่เป็นอันตรายจะถูกดำเนินการอย่างเงียบ ๆ ในพื้นหลังของระบบ นอกจากนี้ สคริปต์ชุดอื่นจะถูกดาวน์โหลดจากเซิร์ฟเวอร์ C2 ที่รับเพย์โหลดอื่นๆ รวมถึงไบนารี Python ชื่อ 'CortanaAssistance.exe' การใช้ Cortana ซึ่งเป็นผู้ช่วยเสมือนของ Microsoft แสดงว่าผู้โจมตีอาจพยายามปลอมแปลงรหัสที่เสียหายเป็นไฟล์ระบบที่ถูกต้อง
ความสามารถที่เป็นอันตรายของ PY#RATION RAT
ตรวจพบโทรจัน PY#RATION สองเวอร์ชัน (เวอร์ชัน 1.0 และ 1.6) เวอร์ชันที่ใหม่กว่ามีโค้ดเพิ่มเติมเกือบ 1,000 บรรทัด ซึ่งเพิ่มคุณสมบัติการสแกนเครือข่ายเพื่อตรวจสอบเครือข่ายที่ถูกบุกรุกและเลเยอร์การเข้ารหัสบนโค้ด Python โดยใช้โมดูล Fernet นอกจากนี้ ภัยคุกคามยังสามารถถ่ายโอนไฟล์จากโฮสต์ที่ถูกละเมิดไปยังเซิร์ฟเวอร์ C2 และในทางกลับกัน
RAT สามารถเริ่มบันทึกการกดแป้นพิมพ์ ดำเนินการคำสั่งระบบ ดึงรหัสผ่านและคุกกี้จากเว็บเบราว์เซอร์ เก็บข้อมูลคลิปบอร์ด และตรวจหาซอฟต์แวร์รักษาความปลอดภัยที่มีอยู่ ผู้คุกคามสามารถใช้ PY#RATION เป็นเกตเวย์สำหรับการปรับใช้เพย์โหลดของภัยคุกคามอื่นๆ เช่น ตัวขโมยข้อมูลที่ใช้ Python อื่นที่สร้างขึ้นอย่างชัดเจนเพื่อรวบรวมข้อมูลจากเว็บเบราว์เซอร์และกระเป๋าเงินดิจิตอล
