ResolverRAT Malware

Cybersikkerhedsforskere har identificeret en sofistikeret fjernadgangstrojan ved navn ResolverRAT, som aktivt bliver brugt i angreb rettet mod sundheds- og medicinalsektoren. Denne nyopdagede malware udgør en alvorlig risiko på grund af dens snigende adfærd og komplekse infektionsmekanismer.

Phishing-taktik: Frygt som et våben

Kampagnen begynder med frygtfremkaldende phishing-e-mails, der er lavet til at presse modtagere til hurtigt at klikke på et ondsindet link. Disse lokker refererer ofte til juridiske problemer eller krænkelser af copyright, designet til at skabe panik og fremkalde en forhastet reaktion. Når der er klikket på det, fører linket til download af en fil, der starter ResolverRAT-infektionskæden.

Regionsspecifikt bedrag

Et iøjnefaldende element i denne kampagne er brugen af lokaliseret phishing-indhold. E-mails er skrevet på modersmålene i de målrettede regioner - hindi, italiensk, tjekkisk, tyrkisk, portugisisk og indonesisk - hvilket fremhæver angribernes hensigt om at øge infektionssuccesen gennem regionsspecifik skræddersyet.

Infektionsmekanik: En snigende kædereaktion

ResolverRAT anvender DLL side-loading til at starte sin infektionskæde. Det første trin bruger en in-memory loader til at dekryptere og køre den primære nyttelast, som er krypteret, komprimeret og aldrig skrevet til disk. Disse teknikker gør det muligt at forblive uopdaget af traditionelle sikkerhedsværktøjer.

Resiliens gennem redundans

Denne malware er ikke kun afhængig af stealth – den er bygget til overlevelse. ResolverRAT bruger en flertrins bootstrapping-proces med redundante persistensmekanismer, der indlejrer sig selv forskellige steder på Windows-filsystemet og registreringsdatabasen. Dette sikrer, at selvom en del af malwaren fjernes, kan den genetablere sig selv.

Avanceret C2-infrastruktur: Gemmer sig i almindeligt syn

Når den er aktiv, starter ResolverRAT certifikatbaseret godkendelse for at kommunikere med dens Command-and-Control-server (C2) og omgår rodautoritetsvalidering. Den har endda IP-rotation for at skifte C2-servere, hvis en bliver taget ned, hvilket yderligere komplicerer detektion og fjernelse.

Evasion Mastery: Usynlig, men til stede

For at holde sig under radaren udnytter ResolverRAT certifikatstifting, kildekodesløring og uregelmæssige beaconingsmønstre. Disse metoder skjuler ikke kun deres tilstedeværelse, men besejrer også standarddetektionsteknikker, der bruges i sikkerhedssystemer.

Silent Data Exfiltration

Malwarens primære mål er at modtage kommandoer fra C2-serveren og eksfiltrere data. Det opdeler smart store datafiler i 16 KB bidder, hvilket reducerer risikoen for påvisning af netværksovervågningsværktøjer.

Tilskrivning stadig uklar, men mønstre dukker op

Selvom angrebskampagnen forbliver utilskrevet, antyder ligheder i infrastruktur, temaer og teknikker – især brugen af DLL side-loading og phishing lokker – et muligt link til tidligere dokumenterede angreb. Dette overlap kunne pege på et delt affiliate-netværk eller koordineret trusselsaktøraktivitet.

Konklusion: En vedvarende, undvigende cybertrussel

ResolverRAT er et eksempel på den næste generation af malware – snigende, adaptiv og modstandsdygtig. Dens design afspejler en sofistikeret forståelse af moderne cybersikkerhedsforsvar, hvilket gør det til en formidabel trussel mod målrettede industrier og en højprioritet bekymring for forsvarere.