ZynorRAT pahavara

Küberturvalisuse uurijad on tuvastanud uudse pahavara perekonna, mis koosneb Go-kompileeritud kaugjuurdepääsu troojast (RAT) nimega ZynorRAT. Implantaat on suunatud nii Linuxi kui ka Windowsi arvutitele, seda hallatakse Telegrami roboti kaudu ja – olemasolevate tõendite põhjal – ilmus esmakordselt 8. juulil 2025. Analüütikud ei ole teatanud koodi ega käitumise kattumisest varem kataloogitud perekondadega, mis viitab pigem uuele implementatsioonile kui olemasoleva tööriistakomplekti variandile.

Tehniline profiil — keele-, ehitus- ja platvormideülene teave

ZynorRAT on rakendatud Go keeles, mis võimaldab ühel koodibaasil luua binaarfaile mitme operatsioonisüsteemi sihtmärgi jaoks. Linuxi versioon on funktsiooniderikas ja pakub laia valikut võimalusi luureks, andmete kogumiseks ja kaugjuhtimiseks. Samuti on täheldatud Windowsi versiooni, mis tundub funktsionaalselt sarnane Linuxi variandiga; aga see kasutab endiselt Linuxi stiilis püsivustehnikaid (systemd teenused), mis viitab sellele, et Windowsi artefakt võib olla mittetäielik või aktiivses arenduses.

Võimalused – mida pahavara teha suudab

Pahavara peamine ülesanne on failide kogumine, väljafiltreerimine ja kaugjuurdepääs, kusjuures käsklus- ja juhtimisrežiimi (C2) haldab Telegrami bot (tuvastatud kui @lraterrorsbot ehk 'lrat'). Pärast installimist saab ZynorRAT sellelt botilt edasisi juhiseid ja täidab ülesandeid kohapeal ohvri hostis. Linuxi peamised võimalused hõlmavad failide sirvimist ja väljafiltreerimist, süsteemi profileerimist, protsesside loetlemist ja lõpetamist, ekraanipiltide tegemist, suvaliste käskude täitmist ja püsivust systemd kaudu.

Täheldatud käskude lõpp-punktid (nagu Linuxi versioonis rakendatud):

• /fs_list — kataloogide loetlemine
• /fs_get — failide filtreerimine hostist
• /metrics — teostab süsteemi profileerimist
• /proc_list — käivitab ps-iga samaväärse käsu protsesside loetlemiseks
• /proc_kill — protsessi tapmine PID-i abil
• /capture_display — ekraanipiltide tegemine ekraanipildina
• /persist — püsivuse loomine (systemd teenus)

Käsklus ja kontroll ning levitamine – kuidas operaator seda käitab ja levitab

Telegram on ZynorRATi C2-kanal: pahavara kontrollib @lraterrorsbot robotit ja võtab selle kaudu vastu käske. Telegrami roboti kaudu jagatud ekraanipildid ja muud esemed näitavad, kuidas kasulikke andmeid levitatakse failijagamisteenuse Dosya.co kaudu. Nende ekraanipiltide analüüs näitab, et autor võis funktsionaalsuse testimiseks või valideerimiseks kasutada enda kontrolli all olevaid masinaid (eneseinfekteerimine). Avaliku sõnumsideplatvormi, näiteks Telegrami, kasutamine C2-kanal pakub operaatorile kasutusmugavust ja teatud tasemel operatiivset paindlikkust, kuid loob ka selged indikaatorid (roboti käitlemine, ebatavaline Telegrami liiklus), mida kaitsjad saavad otsida.

Omistamine ja ajajoon – mida me saame mõistlikult järeldada

Tõendid viitavad tegevusele, mis algas 8. juulil 2025. Botivestlustes ja muus taastatud tekstis leiduvad keeleartefaktid viitavad sellele, et operaator võib olla türklane või vähemalt kasutada türgi keele ressursse ning praegune analüüs soosib üksikut, tõenäoliselt üksikut tegijat, mitte grupi arendustööd. Siiski tuleks isikule või rahvale omistamist kuni edasise kinnituse saamiseni ettevaatlikuks pidada.

Miks see on oluline – uudsus ja pahavara arendustrendid

Kuigi RAT-id on levinud, on ZynorRAT tähelepanuväärne selle poolest, et see näib olevat puhasruumi implementatsioon (ilma kattumisteta tuntud tooteperedega), mis rakendab automatiseeritud, tsentraliseeritud juhtelemente Telegrami kaudu. Selle platvormideülene ambitsioon ja Go kasutamine toovad esile suundumuse, kus suhteliselt väikesed operaatorid toodavad kiiresti võimekaid mitme operatsioonisüsteemi tööriistu. Varajase etapi keerukus näitab siin, kui kiiresti võivad tekkida ja kasutusele võtta uued RAT-id.

Lõpphinnang

ZynorRAT on kaasaegne näide kergest, kuid võimekast RAT-ist, mis on loodud platvormideüleseks juurutamiseks ja mida hallatakse valmissõnumiteenuse kaudu. Selle avastus rõhutab, et isegi üksikud operaatorid saavad kiiresti luua paindlikke kaugjuurdepääsu tööriistu, kasutades tänapäevaseid keeli nagu Go. Organisatsioonid peaksid käsitlema Telegram-põhist C2-d ja ootamatut tarbijafailide jagamise teenuste kasutamist esmatähtsate otsinguüksustena, tugevdama teenuste loomist lõpp-punktides ja rakendama ülaltoodud leevendusi, et vähendada kokkupuudet.