ResolverRAT Malware

Istraživači kibernetičke sigurnosti identificirali su sofisticirani trojanac s daljinskim pristupom pod nazivom ResolverRAT, koji se aktivno koristi u napadima usmjerenim na zdravstveni i farmaceutski sektor. Ovaj novootkriveni zlonamjerni softver predstavlja ozbiljan rizik zbog svog prikrivenog ponašanja i složenih mehanizama infekcije.

Taktika krađe identiteta: Strah kao oružje

Kampanja počinje s phishing e-porukama koje izazivaju strah, osmišljene tako da tjeraju primatelje da hitno kliknu zlonamjernu vezu. Ovi mamci često upućuju na pravne probleme ili kršenja autorskih prava, osmišljeni kako bi stvorili paniku i isprovocirali ishitrenu reakciju. Nakon što se klikne, poveznica vodi do preuzimanja datoteke koja pokreće lanac infekcije ResolverRAT-a.

Obmana specifična za regiju

Istaknuti element u ovoj kampanji je korištenje lokaliziranog sadržaja za krađu identiteta. E-poruke su napisane na izvornim jezicima ciljanih regija - hindskom, talijanskom, češkom, turskom, portugalskom i indonezijskom - ističući namjeru napadača da povećaju uspjeh infekcije kroz prilagođavanje za pojedinu regiju.

Mehanika infekcije: Nevidljiva lančana reakcija

ResolverRAT koristi bočno učitavanje DLL-a kako bi pokrenuo svoj lanac infekcije. Prva faza koristi učitavač u memoriji za dešifriranje i pokretanje primarnog korisnog sadržaja, koji je šifriran, komprimiran i nikada se ne zapisuje na disk. Ove tehnike omogućuju da tradicionalni sigurnosni alati ostanu neotkriveni.

Otpornost kroz zalihost

Ovaj zlonamjerni softver ne oslanja se samo na prikrivenost - napravljen je za preživljavanje. ResolverRAT koristi višefazni proces podizanja sustava s redundantnim mehanizmima postojanosti, ugrađujući se na različite lokacije u Windows datotečnom sustavu i registru. To osigurava da čak i ako se dio zlonamjernog softvera ukloni, može se ponovno uspostaviti.

Napredna C2 infrastruktura: Skrivanje na vidljivom mjestu

Nakon što je aktivan, ResolverRAT pokreće autentifikaciju temeljenu na certifikatu za komunikaciju sa svojim Command-and-Control (C2) poslužiteljem, zaobilazeći provjeru valjanosti korijenskog ovlaštenja. Čak ima IP rotaciju za prebacivanje C2 poslužitelja ako je jedan oboren, što dodatno komplicira otkrivanje i uklanjanje.

Majstorstvo izbjegavanja: nevidljivo, ali prisutno

Kako bi ostao ispod radara, ResolverRAT koristi prikvačivanje certifikata, maskiranje izvornog koda i nepravilne uzorke signalizacije. Ove metode ne samo da skrivaju njihovu prisutnost, već također pobjeđuju standardne tehnike detekcije koje se koriste u sigurnosnim sustavima.

Tiha ekstrakcija podataka

Primarni cilj zlonamjernog softvera je primanje naredbi s C2 poslužitelja i izvlačenje podataka. Pametno dijeli velike podatkovne datoteke u dijelove od 16 KB, smanjujući rizik otkrivanja alatima za nadzor mreže.

Atribucija još uvijek nejasna, ali obrasci se pojavljuju

Iako kampanja napada ostaje nepripisana, sličnosti u infrastrukturi, temama i tehnikama—posebno korištenje bočnog učitavanja DLL-a i mamaca za krađu identiteta—nagovještavaju moguću vezu s prethodno dokumentiranim napadima. Ovo preklapanje može upućivati na zajedničku partnersku mrežu ili koordiniranu aktivnost aktera prijetnje.

Zaključak: Uporna kibernetička prijetnja koja izbjegava

ResolverRAT primjer je sljedeće generacije zlonamjernog softvera—tajnog, prilagodljivog i otpornog. Njegov dizajn odražava sofisticirano razumijevanje moderne obrane kibernetičke sigurnosti, što ga čini ogromnom prijetnjom ciljanim industrijama i brigom visokog prioriteta za branitelje.