Κακόβουλο λογισμικό RokRAT

Η βορειοκορεατική ομάδα απειλών APT37 (γνωστή και ως ScarCruft) έχει συνδεθεί με μια εξελιγμένη, πολυσταδιακή κυβερνοεκστρατεία που αξιοποιεί την κοινωνική μηχανική μέσω του Facebook. Οι εισβολείς ξεκινούν την επικοινωνία στέλνοντας αιτήματα φιλίας, χτίζοντας σταδιακά εμπιστοσύνη πριν μετατρέψουν την αλληλεπίδραση σε κανάλι παράδοσης κακόβουλου λογισμικού. Αυτή η υπολογισμένη χειραγώγηση τελικά επιτρέπει την ανάπτυξη του trojan απομακρυσμένης πρόσβασης RokRAT.

Όπλο Επιλογής: Η Εξέλιξη του RokRAT

Το RokRAT παραμένει το κύριο κακόβουλο λογισμικό που χρησιμοποιείται από την ομάδα και έχει εξελιχθεί σημαντικά με την πάροδο του χρόνου, με προσαρμογές για πλατφόρμες όπως το macOS και το Android. Η συνεχής ανάπτυξή του υπογραμμίζει τις διαρκείς λειτουργικές επενδύσεις.

Το κακόβουλο λογισμικό είναι ικανό να εκτελέσει ένα ευρύ φάσμα κακόβουλων δραστηριοτήτων, όπως:

• Συλλογή διαπιστευτηρίων και εξαγωγή ευαίσθητων δεδομένων
• Λήψη στιγμιότυπου οθόνης και αναγνώριση συστήματος
• Εκτέλεση εντολών και shellcode
• Χειρισμός αρχείων και καταλόγων

Για να αποκρύψουν τις λειτουργίες του, οι προηγούμενες παραλλαγές αποθήκευαν κλεμμένα δεδομένα σε μορφές αρχείων MP3. Επιπλέον, το RokRAT συγκαλύπτει τις επικοινωνίες εντολών και ελέγχου (C2) δρομολογώντας δεδομένα μέσω νόμιμων πλατφορμών cloud όπως το Dropbox, το Microsoft OneDrive, το pCloud και το Yandex Cloud.

Η εμπιστοσύνη ως φορέας επίθεσης: Χειραγώγηση των μέσων κοινωνικής δικτύωσης

Η εκστρατεία ξεκινά με τη δημιουργία δόλιων ονομάτων χρήστη (personas) στο Facebook, που φέρεται να έχουν έδρα την Πιονγιάνγκ και την Πιονγιάνγκ Σονγκ. Αυτοί οι λογαριασμοί χρησιμοποιούνται για τον εντοπισμό και την αξιολόγηση πιθανών θυμάτων. Μόλις δημιουργηθεί μια σύνδεση, οι συζητήσεις μεταφέρονται στο Messenger, όπου παρουσιάζονται προσεκτικά επιλεγμένα θέματα για την εμβάθυνση της εμπιστοσύνης και της αλληλεπίδρασης.

Μια κρίσιμη τακτική που χρησιμοποιείται είναι η προσποίηση, η πειστικότητα των στόχων να εγκαταστήσουν ένα εξειδικευμένο πρόγραμμα προβολής PDF με την ψευδή προϋπόθεση ότι απαιτείται για την πρόσβαση σε κρυπτογραφημένα στρατιωτικά έγγραφα. Η εφαρμογή που παρέχεται είναι μια τροποποιημένη έκδοση του Wondershare PDFelement, με ενσωματωμένο κακόβουλο κώδικα shellcode. Μετά την εκτέλεση, αυτό το πρόγραμμα εγκατάστασης ξεκινά την παραβίαση παρέχοντας στους εισβολείς αρχική πρόσβαση στο σύστημα.

Πολυεπίπεδη Απάτη: Προηγμένες Τεχνικές Παράδοσης και Διαφυγής

Η αλυσίδα επίθεσης επιδεικνύει υψηλό βαθμό πολυπλοκότητας μέσω του συνδυασμού πολλαπλών στρατηγικών αποφυγής:

• Χρήση νόμιμου λογισμικού που έχει υποστεί επεξεργασία με trojan για την παράκαμψη υποψιών
• Εκμετάλλευση παραβιασμένης αλλά αξιόπιστης διαδικτυακής υποδομής για λειτουργίες C2

• Μεταμφίεση κακόβουλων φορτίων ως αβλαβή αρχεία, όπως εικόνες JPG

Αξίζει να σημειωθεί ότι οι εισβολείς αξιοποίησαν έναν παραβιασμένο ιστότοπο που συνδεόταν με το υποκατάστημα της Σεούλ μιας ιαπωνικής υπηρεσίας ακινήτων για να διανείμουν εντολές και ωφέλιμα φορτία. Το ωφέλιμο φορτίο δεύτερου σταδίου εμφανίζεται ως ένα ακίνδυνο αρχείο εικόνας, αποκρύπτοντας την τελική ανάπτυξη του RokRAT.

Εκτέλεση σε Πολλαπλά Στάδια: Από την Κοινωνική Επαφή έως τον Πλήρη Συμβιβασμό

Η ακολουθία της επίθεσης εξελίσσεται σε διάφορα συντονισμένα στάδια. Οι απειλητικοί παράγοντες δημιούργησαν λογαριασμούς στο Facebook με τα ονόματα «richardmichael0828» και «johnsonsophia0414» στις 10 Νοεμβρίου 2025. Μετά την επίτευξη της επικοινωνίας, η επικοινωνία ανακατευθύνεται στο Telegram, όπου τα θύματα λαμβάνουν ένα αρχείο ZIP που περιέχει το κακόβουλο πρόγραμμα προβολής PDF, έγγραφα-δολώματα και οδηγίες εγκατάστασης.

Η εκτέλεση του παραβιασμένου προγράμματος εγκατάστασης ενεργοποιεί κρυπτογραφημένο shellcode, το οποίο συνδέεται με έναν τομέα C2 και ανακτά ένα δευτερεύον ωφέλιμο φορτίο που έχει μεταμφιεστεί σε αρχείο εικόνας JPG. Αυτό το αρχείο τελικά παραδίδει το πλήρες κακόβουλο λογισμικό RokRAT.

Εντολή και έλεγχος που βασίζεται στο cloud: Ενσωμάτωση σε νόμιμη κίνηση

Το RokRAT ενισχύει περαιτέρω την αόρατη λειτουργία του, καταχρώμενο το Zoho WorkDrive ως μέρος της υποδομής C2, μια μέθοδος που παρατηρήθηκε επίσης στην καμπάνια «Ruby Jumper» που εντοπίστηκε στις αρχές του 2026. Μέσω αυτής της προσέγγισης, το κακόβουλο λογισμικό εκτελεί λειτουργίες όπως η λήψη στιγμιότυπων οθόνης, η απομακρυσμένη εκτέλεση εντολών μέσω κελυφών συστήματος, η συλλογή δεδομένων κεντρικού υπολογιστή και η αποφυγή ασφαλείας.

Στρατηγική εστίαση: Σταθερότητα στη λειτουργία, Καινοτομία στην παράδοση

Ενώ οι βασικές δυνατότητες του RokRAT έχουν παραμείνει σε μεγάλο βαθμό σταθερές σε όλες τις λειτουργίες, οι μηχανισμοί παράδοσής του και οι τακτικές αποφυγής συνεχίζουν να εξελίσσονται. Αυτή η στρατηγική έμφαση καταδεικνύει μια σκόπιμη εστίαση στη βελτίωση των φορέων μόλυνσης και των τεχνικών μυστικότητας αντί για την τροποποίηση της βασικής λειτουργικότητας του κακόβουλου λογισμικού.