ResolverRAT Malware

Penyelidik keselamatan siber telah mengenal pasti trojan akses jauh yang canggih bernama ResolverRAT, yang sedang digunakan secara aktif dalam serangan yang menyasarkan sektor penjagaan kesihatan dan farmaseutikal. Perisian hasad yang baru ditemui ini menimbulkan risiko yang serius disebabkan oleh tingkah laku senyap dan mekanisme jangkitan yang kompleks.

Taktik Phishing: Ketakutan Sebagai Senjata

Kempen bermula dengan e-mel pancingan data yang menimbulkan ketakutan, direka untuk mendorong penerima mengklik pautan berniat jahat dengan segera. Gewang ini sering merujuk masalah undang-undang atau pelanggaran hak cipta, direka untuk menimbulkan panik dan mencetuskan reaksi tergesa-gesa. Setelah diklik, pautan itu membawa kepada muat turun fail yang memulakan rantaian jangkitan ResolverRAT.

Penipuan Khusus Wilayah

Elemen yang menonjol dalam kempen ini ialah penggunaan kandungan pancingan data setempat. E-mel ditulis dalam bahasa ibunda wilayah yang disasarkan—Hindi, Itali, Czech, Turki, Portugis dan Indonesia—menyerlahkan niat penyerang untuk meningkatkan kejayaan jangkitan melalui jahitan khusus wilayah.

Mekanik Jangkitan: Tindak Balas Rantaian Senyap

ResolverRAT menggunakan pemuatan sisi DLL untuk memulakan rantaian jangkitannya. Peringkat pertama menggunakan pemuat dalam memori untuk menyahsulit dan menjalankan muatan utama, yang disulitkan, dimampatkan dan tidak pernah ditulis ke cakera. Teknik ini membolehkannya kekal tidak dapat dikesan oleh alat keselamatan tradisional.

Ketahanan Melalui Lebihan

Perisian hasad ini bukan sahaja bergantung pada siluman—ia dibina untuk kemandirian. ResolverRAT menggunakan proses bootstrapping berbilang peringkat dengan mekanisme kegigihan yang berlebihan, membenamkan dirinya dalam pelbagai lokasi pada sistem fail Windows dan Registry. Ini memastikan bahawa walaupun sebahagian daripada perisian hasad dialih keluar, ia boleh mewujudkan semula dirinya.

Infrastruktur C2 Lanjutan: Bersembunyi Dalam Penglihatan

Setelah aktif, ResolverRAT memulakan pengesahan berasaskan sijil untuk berkomunikasi dengan pelayan Command-and-Control (C2), mengetepikan pengesahan kuasa akar. Ia juga mempunyai penggiliran IP untuk menukar pelayan C2 jika ia dikeluarkan, merumitkan lagi usaha pengesanan dan alih keluar.

Penguasaan Pengelakan: Tidak kelihatan tetapi Hadir

Untuk kekal di bawah radar, ResolverRAT memanfaatkan penyematan sijil, kekaburan kod sumber dan corak suar yang tidak teratur. Kaedah ini bukan sahaja menyembunyikan kehadiran mereka tetapi juga mengalahkan teknik pengesanan standard yang digunakan dalam sistem keselamatan.

Penapisan Data Senyap

Objektif utama perisian hasad adalah untuk menerima arahan daripada pelayan C2 dan mengeluarkan data. Ia bijak membahagikan fail data besar kepada ketulan 16 KB, mengurangkan risiko pengesanan oleh alat pemantauan rangkaian.

Atribusi Masih Tidak Jelas, Tetapi Corak Muncul

Walaupun kempen serangan kekal tidak dikaitkan, persamaan dalam infrastruktur, tema dan teknik—terutamanya penggunaan pemuatan sisi DLL dan gewang pancingan data—menunjukkan kemungkinan pautan kepada serangan yang didokumenkan sebelum ini. Pertindihan ini boleh menunjukkan kepada rangkaian ahli gabungan yang dikongsi atau aktiviti pelaku ancaman yang diselaraskan.

Kesimpulan: Ancaman Siber yang Berterusan dan Mengelak

ResolverRAT mencontohi perisian hasad generasi seterusnya—senyap, mudah suai dan berdaya tahan. Reka bentuknya mencerminkan pemahaman yang canggih tentang pertahanan keselamatan siber moden, menjadikannya ancaman yang menggerunkan kepada industri yang disasarkan dan kebimbangan keutamaan tinggi bagi pembela.