Κακόβουλο λογισμικό ZynorRAT

Ερευνητές στον τομέα της κυβερνοασφάλειας εντόπισαν μια νέα οικογένεια κακόβουλου λογισμικού, η οποία αποτελείται από ένα trojan απομακρυσμένης πρόσβασης (RAT) με μεταγλώττιση Go-compiled που ονομάζεται ZynorRAT. Το εμφύτευμα στοχεύει τόσο σε υπολογιστές Linux όσο και σε υπολογιστές Windows, διαχειρίζεται μέσω ενός bot Telegram και — βάσει των διαθέσιμων στοιχείων — εμφανίστηκε για πρώτη φορά στις 8 Ιουλίου 2025. Οι αναλυτές αναφέρουν ότι δεν υπάρχει επικάλυψη κώδικα ή συμπεριφοράς με προηγουμένως καταχωρημένες οικογένειες, γεγονός που υποδηλώνει μια νέα υλοποίηση και όχι μια παραλλαγή ενός υπάρχοντος συνόλου εργαλείων.

Τεχνικό προφίλ — γλώσσα, έκδοση και σημειώσεις για όλες τις πλατφόρμες

Το ZynorRAT υλοποιείται στο Go, το οποίο επιτρέπει σε μια ενιαία βάση κώδικα να παράγει δυαδικά αρχεία για πολλαπλούς στόχους λειτουργικού συστήματος. Η έκδοση Linux είναι πλούσια σε λειτουργίες και εκθέτει ένα ευρύ σύνολο δυνατοτήτων για αναγνώριση, συλλογή δεδομένων και τηλεχειρισμό. Έχει επίσης παρατηρηθεί μια έκδοση των Windows η οποία φαίνεται λειτουργικά παρόμοια με την παραλλαγή του Linux. Ωστόσο, εξακολουθεί να χρησιμοποιεί τεχνικές διατήρησης τύπου Linux (υπηρεσίες systemd), υπονοώντας ότι το τεχνούργημα των Windows ενδέχεται να είναι ελλιπές ή υπό ενεργή ανάπτυξη.

Δυνατότητες — τι μπορεί να κάνει το κακόβουλο λογισμικό

Η κύρια αποστολή του κακόβουλου λογισμικού είναι η συλλογή, η αφαίρεση και η απομακρυσμένη πρόσβαση, με το Command-and-Control (C2) να διαχειρίζεται μέσω ενός bot Telegram (που αναγνωρίζεται ως @lraterrorsbot, γνωστό και ως 'lrat'). Μόλις αναπτυχθεί, το ZynorRAT λαμβάνει περαιτέρω οδηγίες από αυτό το bot και εκτελεί εργασίες τοπικά στον κεντρικό υπολογιστή του θύματος. Οι βασικές δυνατότητες του Linux περιλαμβάνουν την περιήγηση και την αφαίρεση αρχείων, τη δημιουργία προφίλ συστήματος, την καταγραφή και τον τερματισμό διεργασιών, τη λήψη στιγμιότυπων οθόνης, την εκτέλεση αυθαίρετων εντολών και τη διατήρηση μέσω του systemd.

Παρατηρηθέντα τελικά σημεία εντολών (όπως υλοποιούνται στην έκδοση Linux):

• /fs_list — απαρίθμηση καταλόγων
• /fs_get — εξαγωγή αρχείων από τον κεντρικό υπολογιστή
• /metrics — εκτέλεση δημιουργίας προφίλ συστήματος
• /proc_list — εκτέλεση του ισοδύναμου του ps για την καταγραφή διεργασιών
• /proc_kill — τερματισμός μιας διεργασίας μέσω PID
• /capture_display — λήψη στιγμιότυπων οθόνης της οθόνης
• /persist — δημιουργία μόνιμου περιβάλλοντος (υπηρεσία systemd)

Διοίκηση και έλεγχος και διανομή — πώς ο χειριστής τα διαχειρίζεται και τα διαδίδει

Το Telegram είναι το κανάλι C2 του ZynorRAT: το κακόβουλο λογισμικό ελέγχει το bot @lraterrorsbot και λαμβάνει εντολές μέσω αυτού του μέσου. Τα στιγμιότυπα οθόνης και άλλα αντικείμενα που κοινοποιούνται μέσω του bot του Telegram δείχνουν ωφέλιμα φορτία που διανέμονται μέσω μιας υπηρεσίας κοινής χρήσης αρχείων που ονομάζεται Dosya.co. Η ανάλυση αυτών των στιγμιότυπων οθόνης δείχνει ότι ο δημιουργός μπορεί να έχει χρησιμοποιήσει μηχανήματα που ελέγχει για να δοκιμάσει ή να επικυρώσει τη λειτουργικότητα (αυτομόλυνση). Η χρήση μιας δημόσιας πλατφόρμας ανταλλαγής μηνυμάτων όπως το Telegram ως C2 παρέχει ευκολία χρήσης για τον χειριστή και κάποιο επίπεδο λειτουργικής ευελιξίας, αλλά δημιουργεί επίσης σαφείς ενδείξεις (χρήση bot, ασυνήθιστη κίνηση Telegram) που μπορούν να αναζητήσουν οι υπερασπιστές.

Απόδοση και χρονοδιάγραμμα — τι μπορούμε εύλογα να συμπεράνουμε

Τα στοιχεία υποδεικνύουν ότι η δραστηριότητα ξεκίνησε στις 8 Ιουλίου 2025. Τα γλωσσικά αντικείμενα στις συνομιλίες των bot και σε άλλο ανακτημένο κείμενο υποδηλώνουν ότι ο χειριστής μπορεί να είναι Τούρκος ή τουλάχιστον να χρησιμοποιεί πόρους τουρκικής γλώσσας, και η τρέχουσα ανάλυση ευνοεί έναν μόνο, πιθανώς μεμονωμένο δράστη αντί για μια ομαδική προσπάθεια ανάπτυξης. Ωστόσο, η απόδοση σε ένα άτομο ή έθνος θα πρέπει να παραμείνει επιφυλακτική εν αναμονή περαιτέρω επιβεβαίωσης.

Γιατί αυτό έχει σημασία — καινοτομία και τάσεις ανάπτυξης κακόβουλου λογισμικού

Παρόλο που τα RAT είναι συνηθισμένα, το ZynorRAT είναι αξιοσημείωτο επειδή φαίνεται να είναι μια υλοποίηση καθαρού χώρου (χωρίς επικαλύψεις με γνωστές οικογένειες) που εφαρμόζει αυτοματοποιημένους, κεντρικούς ελέγχους μέσω Telegram. Οι φιλοδοξίες του σε πολλαπλές πλατφόρμες και η χρήση του Go υπογραμμίζουν την τάση των σχετικά μικρών φορέων εκμετάλλευσης να παράγουν γρήγορα ικανά εργαλεία πολλαπλών λειτουργικών συστημάτων. Η εξειδίκευση σε πρώιμο στάδιο εδώ δείχνει πόσο γρήγορα μπορούν να αναδυθούν και να εφαρμοστούν νέα RAT.

Τελική αξιολόγηση

Το ZynorRAT αντιπροσωπεύει ένα σύγχρονο παράδειγμα ενός ελαφρού αλλά ικανού RAT που έχει κατασκευαστεί για ανάπτυξη σε πολλαπλές πλατφόρμες και διαχειρίζεται μέσω μιας έτοιμης υπηρεσίας ανταλλαγής μηνυμάτων. Η ανακάλυψή του υπογραμμίζει ότι ακόμη και μεμονωμένοι πάροχοι μπορούν να παράγουν γρήγορα ευέλικτα εργαλεία απομακρυσμένης πρόσβασης χρησιμοποιώντας σύγχρονες γλώσσες όπως το Go. Οι οργανισμοί θα πρέπει να αντιμετωπίζουν την C2 που βασίζεται στο Telegram και την απροσδόκητη χρήση υπηρεσιών κοινής χρήσης αρχείων από καταναλωτές ως στοιχεία υψηλής προτεραιότητας, να ενισχύουν τη δημιουργία υπηρεσιών σε τερματικά σημεία και να εφαρμόζουν τους μετριασμούς που αναφέρονται παραπάνω για να μειώσουν την έκθεση.