RokRAT-haittaohjelma
Pohjoiskorealainen uhkaryhmä APT37 (tunnetaan myös nimellä ScarCruft) on yhdistetty hienostuneeseen, monivaiheiseen kyberhyökkäyskampanjaan, jossa hyödynnetään sosiaalista manipulointia Facebookin kautta. Hyökkääjät aloittavat yhteydenoton lähettämällä kaveripyyntöjä ja rakentavat vähitellen luottamusta ennen kuin muuttavat vuorovaikutuksen haittaohjelmien jakelukanavaksi. Tämä laskelmoitu manipulointi mahdollistaa lopulta etäkäyttötroijalaisen RokRATin käyttöönoton.
Sisällysluettelo
Valinnan ase: RokRATin kehitys
RokRAT on edelleen ryhmän ensisijainen käyttämä haittaohjelma, ja se on kehittynyt merkittävästi ajan myötä ja sitä on mukautettu alustoille, kuten macOS ja Android. Sen jatkuva kehitys korostaa jatkuvia operatiivisia investointeja.
Haittaohjelma pystyy suorittamaan laajan kirjon haitallisia toimintoja, mukaan lukien:
- Tunnistetietojen kerääminen ja arkaluonteisten tietojen vuotaminen
- Kuvakaappaus ja järjestelmän tiedustelu
- Komentojen ja shell-koodin suorittaminen
- Tiedostojen ja hakemistojen käsittely
Toimintansa peittämiseksi aiemmat variantit tallensivat varastettua dataa MP3-tiedostomuotoihin. Lisäksi RokRAT peittää komento- ja ohjausjärjestelmänsä (C2) reitittämällä dataa laillisten pilvialustojen, kuten Dropboxin, Microsoft OneDriven, pCloudin ja Yandex Cloudin, kautta.
Luottamus hyökkäysvektorina: Sosiaalisen median manipulointi
Kampanja alkaa luomalla vilpillisiä Facebook-persoonia, joiden kerrotaan toimivan Pjongjangissa ja Pjongsongissa. Näitä tilejä käytetään potentiaalisten uhrien tunnistamiseen ja arviointiin. Kun yhteys on muodostettu, keskustelut siirtyvät Messengeriin, jossa esitellään huolellisesti valittuja aiheita luottamuksen ja vuorovaikutuksen syventämiseksi.
Kriittinen taktiikka on verukkeen avulla vakuuttaa kohteet asentamaan erikoistuneen PDF-katseluohjelman sillä väärällä oletuksella, että sitä tarvitaan salattujen sotilasasiakirjojen käyttämiseen. Tarjottu sovellus on Wondershare PDFelementin muokattu versio, johon on upotettu haitallista komentokoodia. Suorituksen jälkeen tämä asennusohjelma aloittaa tietomurron myöntämällä hyökkääjille alustavan järjestelmän käyttöoikeuden.
Kerroksittainen petos: Edistyneet toimitus- ja väistötekniikat
Hyökkäysketju osoittaa korkeaa hienostuneisuutta useiden väistöstrategioiden yhdistelmän ansiosta:
- Troijalaisen saastuneen laillisen ohjelmiston käyttö epäilysten ohittamiseen
- Vaarantuneen mutta luotettavan verkkoinfrastruktuurin hyödyntäminen C2-toiminnoissa
- Haitallisten hyötykuormien naamiointi vaarattomiksi tiedostoiksi, kuten JPG-kuviksi
Hyökkääjät käyttivät hyväkseen japanilaisen kiinteistövälityspalvelun Soulin-konttoriin linkitettyä vaarantunutta verkkosivustoa komentojen ja hyötykuvien levittämiseen. Toisen vaiheen hyötykuormitus näkyy vaarattomana kuvatiedostona, joka peittää lopullisen RokRAT-asennuksen.
Monivaiheinen toteutus: Sosiaalisesta kontaktista täydelliseen kompromissiin
Hyökkäysketju etenee useiden koordinoitujen vaiheiden läpi. Uhkatoimijat loivat Facebook-tilit nimeltä 'richardmichael0828' ja 'johnsonsophia0414' 10. marraskuuta 2025. Yhteyden luomisen jälkeen viestintä ohjataan Telegramiin, jossa uhrit saavat ZIP-arkiston, joka sisältää haitallisen PDF-katseluohjelman, houkutustiedostot ja asennusohjeet.
Vaarantuneen asennusohjelman suorittaminen laukaisee salatun komentotulkkikoodin, joka muodostaa yhteyden C2-domeeniin ja hakee JPG-kuvatiedostoksi naamioidun toissijaisen hyötykuorman. Tämä tiedosto toimittaa lopulta koko RokRAT-haittaohjelman.
Pilvipohjainen komento ja hallinta: Sulautuminen lailliseen liikenteeseen
RokRAT parantaa edelleen piilotuskykyään väärinkäyttämällä Zoho WorkDrivea osana C2-infrastruktuuriaan. Tämä menetelmä havaittiin myös vuoden 2026 alussa tunnistetussa 'Ruby Jumper' -kampanjassa. Tämän lähestymistavan avulla haittaohjelma suorittaa toimintoja, kuten kuvakaappausten ottamista, komentojen etäsuorittamista järjestelmäkuorten kautta, isäntätietojen keräämistä ja tietoturvan kiertämistä.
Strateginen painopiste: Toiminnan vakaus, toimituksen innovaatio
Vaikka RokRATin ydinominaisuudet ovat pysyneet pitkälti samoina kaikissa operaatioissa, sen toimitusmekanismit ja väistötaktiikat kehittyvät jatkuvasti. Tämä strateginen painotus osoittaa tietoista keskittymistä tartuntavektoreiden ja häivetekniikoiden parantamiseen haittaohjelman perustoimintojen muuttamisen sijaan.
