Ντόρα ΡΑΤ

Ο ηθοποιός απειλών που συνδέεται με τη Βόρεια Κορέα, γνωστός ως Andariel, έχει παρατηρηθεί να χρησιμοποιεί μια νέα κερκόπορτα με βάση το Golang που ονομάζεται Dora RAT στις επιθέσεις του που στοχεύουν εκπαιδευτικά ιδρύματα, κατασκευαστικές εταιρείες και κατασκευαστικές επιχειρήσεις στη Νότια Κορέα. Keylogger, infostealer και proxy εργαλεία πάνω από την κερκόπορτα χρησιμοποιήθηκαν για τις επιθέσεις. Ο παράγοντας απειλής πιθανότατα χρησιμοποίησε αυτά τα στελέχη κακόβουλου λογισμικού για τον έλεγχο και την κλοπή δεδομένων από τα μολυσμένα συστήματα.

Οι επιθέσεις χαρακτηρίζονται από τη χρήση ενός ευάλωτου διακομιστή Apache Tomcat για τη διανομή του κακόβουλου λογισμικού, πρόσθεσε η νοτιοκορεατική εταιρεία κυβερνοασφάλειας, σημειώνοντας ότι το εν λόγω σύστημα έτρεχε την έκδοση του 2013 του Apache Tomcat, καθιστώντας το ευάλωτο σε πολλά τρωτά σημεία.

Ο Andariel APT είναι σημαντικός ηθοποιός στη σκηνή του εγκλήματος στον κυβερνοχώρο

Ο Andariel , γνωστός και με ψευδώνυμα όπως οι Nicket Hyatt, Onyx Sleet και Silent Chollima, αποτελεί μια ομάδα Advanced PersistentThreat (APT) που ευθυγραμμίζεται με τους στρατηγικούς στόχους της Βόρειας Κορέας τουλάχιστον από το 2008.

Μια φατρία εντός του εκτεταμένου Ομίλου Lazarus , αυτός ο αντίπαλος επιδεικνύει μια ιστορία χρήσης του spear-phishing, των επιθέσεων που εκμεταλλεύεται γνωστά τρωτά σημεία λογισμικού για να αποκτήσει αρχική πρόσβαση και να διαδώσει κακόβουλο λογισμικό σε στοχευμένα δίκτυα.

Ενώ οι ερευνητές δεν αποκάλυψαν λεπτομέρειες σχετικά με τη μεθοδολογία επίθεσης για την ανάπτυξη κακόβουλου λογισμικού, τονίστηκε ότι χρησιμοποιήθηκε μια παραλλαγή του καθιερωμένου κακόβουλου λογισμικού Nestdoor. Αυτή η παραλλαγή διαθέτει λειτουργίες που της επιτρέπουν να λαμβάνει και να εκτελεί εντολές από έναν απομακρυσμένο διακομιστή, να μεταφέρει αρχεία, να εκκινεί ένα αντίστροφο κέλυφος, να συλλέγει δεδομένα από το πρόχειρο και πληκτρολογήσεις και να λειτουργεί ως διακομιστής μεσολάβησης.

Το Andariel APT ανέπτυξε το Dora RAT σε παραβιασμένες συσκευές

Οι επιθέσεις χρησιμοποίησαν μια άγνωστη κερκόπορτα γνωστή ως Dora RAT, που δεν είχε προηγουμένως έγγραφα. Χαρακτηρίζεται ως απλό κακόβουλο λογισμικό με λειτουργίες για αντίστροφες λειτουργίες κελύφους και δυνατότητες μεταφοράς αρχείων.

Επιπλέον, ο εισβολέας έχει χρησιμοποιήσει ένα έγκυρο πιστοποιητικό για να υπογράψει και να διανείμει το κακόβουλο λογισμικό Dora RAT. Οι επιβεβαιώσεις δείχνουν ότι ορισμένα στελέχη του Dora RAT που χρησιμοποιήθηκαν στις επιθέσεις είχαν υπογραφεί με νόμιμο πιστοποιητικό που εκδόθηκε σε προγραμματιστή λογισμικού στο Ηνωμένο Βασίλειο.

Μεταξύ της ποικιλίας των στελεχών κακόβουλου λογισμικού που αναπτύσσονται σε αυτές τις επιθέσεις, υπάρχει ένα keylogger που εισάγεται μέσω μιας βελτιωμένης παραλλαγής του Nestdoor, μαζί με ένα εξειδικευμένο στοιχείο κλοπής δεδομένων και ένα εργαλείο διακομιστή μεσολάβησης SOCKS5 που μοιράζεται ομοιότητες με ένα που χρησιμοποιείται από την ομάδα Lazarus στο ThreatNeedle του 2021. καμπάνια.

Η ομάδα Andariel ξεχωρίζει ως ένας από τους πιο ενεργούς παράγοντες απειλών που δραστηριοποιούνται στην Κορέα, μαζί με τις ομάδες Kimsuky και Lazarus. Αρχικά επικεντρώθηκαν στη συλλογή πληροφοριών σχετικά με την εθνική ασφάλεια, έχουν επεκτείνει το πεδίο εφαρμογής τους για να συμπεριλάβουν επιθέσεις με οικονομικά κίνητρα.

Οι λοιμώξεις από αρουραίους θα μπορούσαν να οδηγήσουν σε καταστροφικές συνέπειες για τα θύματα

Οι Trojans απομακρυσμένης πρόσβασης (RAT) μπορούν να προκαλέσουν καταστροφικές συνέπειες στα θύματα λόγω της παρεμβατικής και μυστικής φύσης τους. Να γιατί:

• Μη εξουσιοδοτημένη πρόσβαση : Οι RAT παρέχουν στους εισβολείς απεριόριστη πρόσβαση σε μολυσμένα συστήματα. Αυτή η πρόσβαση τους δίνει τη δυνατότητα να εκτελούν εντολές, να εγκαταστήσουν ή να απεγκαταστήσουν λογισμικό, να τροποποιήσουν αρχεία και να χειριστούν τις ρυθμίσεις του συστήματος από απόσταση, δίνοντάς τους ουσιαστικά πλήρη έλεγχο της συσκευής του θύματος.
• Κλοπή και επιτήρηση δεδομένων : Οι RAT περιλαμβάνουν συχνά λειτουργίες όπως καταγραφή πληκτρολογίου, καταγραφή οθόνης και πειρατεία κάμερας web, επιτρέποντας στους εισβολείς να παρακολουθούν τις δραστηριότητες των θυμάτων σε πραγματικό χρόνο. Αυτή η δυνατότητα επιτήρησης επιτρέπει την κλοπή ευαίσθητων πληροφοριών, συμπεριλαμβανομένων κωδικών πρόσβασης, οικονομικών δεδομένων, προσωπικών συνομιλιών και πνευματικής ιδιοκτησίας.
• Συμβιβασμός συστήματος : Οι αρουραίοι μπορούν να θέσουν σε κίνδυνο την ακεραιότητα και τη λειτουργικότητα των μολυσμένων συστημάτων. Οι εισβολείς ενδέχεται να απενεργοποιήσουν το λογισμικό ασφαλείας, να αλλάξουν τις διαμορφώσεις του συστήματος ή ακόμη και να αναπτύξουν πρόσθετα ωφέλιμα φορτία κακόβουλου λογισμικού, οδηγώντας σε αστάθεια του συστήματος, καταστροφή δεδομένων και απώλεια παραγωγικότητας.
• Διάδοση και συμβιβασμός δικτύου : Οι RAT μπορούν να διευκολύνουν την εξάπλωση κακόβουλου λογισμικού μέσα σε ένα δίκτυο. Μόλις μολυνθεί μια μεμονωμένη συσκευή, οι εισβολείς μπορούν να χρησιμοποιήσουν το παραβιασμένο σύστημα ως επιφάνεια εκκίνησης για να διεισδύσουν σε άλλες συνδεδεμένες συσκευές, διακομιστές ή στοιχεία υποδομής, προκαλώντας δυνητικά εκτεταμένη ζημιά και διακοπή.
• Μακροπρόθεσμη Εμμονή : Οι αρουραίοι έχουν σχεδιαστεί για να διατηρούν επίμονη πρόσβαση σε μολυσμένα συστήματα. Ακόμη και αν οι προσπάθειες αρχικής ανίχνευσης και αφαίρεσης είναι επιτυχείς, οι εισβολείς μπορούν να εγκαταστήσουν ξανά ή να επανενεργοποιήσουν το κακόβουλο λογισμικό, διασφαλίζοντας συνεχή πρόσβαση και έλεγχο σε παραβιασμένες συσκευές για παρατεταμένες περιόδους.
• Βλάβη φήμης και νομικές συνέπειες : Μια επιτυχημένη επίθεση RAT μπορεί να έχει σοβαρές επιπτώσεις για τα θύματα, συμπεριλαμβανομένης της βλάβης στη φήμη τους, της απώλειας της εμπιστοσύνης των πελατών και των νομικών ευθυνών. Οι παραβιάσεις ευαίσθητων δεδομένων μπορεί να οδηγήσουν σε ρυθμιστικά πρόστιμα, αγωγές και άλλες νομικές συνέπειες, επιδεινώνοντας περαιτέρω τη φήμη και τον οικονομικό αντίκτυπο στους επηρεαζόμενους οργανισμούς.

Συνοπτικά, οι μολύνσεις από RAT αποτελούν σημαντικές απειλές για τα θύματα, που κυμαίνονται από μη εξουσιοδοτημένη πρόσβαση και κλοπή δεδομένων έως παραβίαση συστήματος, διάδοση δικτύου και μακροπρόθεσμη επιμονή. Τα προληπτικά μέτρα κυβερνοασφάλειας, συμπεριλαμβανομένων των τακτικών ενημερώσεων λογισμικού, της ισχυρής προστασίας τελικού σημείου, της εκπαίδευσης ευαισθητοποίησης των χρηστών και του σχεδιασμού αντιμετώπισης περιστατικών, είναι απαραίτητα για τον μετριασμό των κινδύνων που σχετίζονται με επιθέσεις RAT.