LabRat-malware
Een verraderlijk malwarepakket dat uitzonderlijk moeilijk te detecteren is, heeft aanleiding gegeven tot bezorgdheid vanwege het kennelijke vermogen om talloze defensieve maatregelen en beveiligingsprotocollen te omzeilen. Uit diepgaand onderzoek door experts is de LabRat-malware aan het licht gekomen, die een opmerkelijk niveau van verfijning vertoont in zijn strategieën om verborgen en operationeel te blijven zonder te worden gedetecteerd.
In tegenstelling tot de meeste vergelijkbare cyberaanvallen waarbij snelheid belangrijker is dan subtiliteit, getuigt de inzet van de LabRat-malware van een hoge mate van verfijning. Deze bedreigingsactoren hebben hun operatie zorgvuldig ontworpen, met bijzondere aandacht voor stealth, een factor die veel aanvallers vaak negeren. Deze gewetensvolle inspanningen van de kant van de dreigingsactoren zullen de uitdagingen waarmee verdedigers worden geconfronteerd bij het identificeren en bestrijden van deze dreiging aanzienlijk vergroten.
De LabRat-malware voert crypto- en proxyjacking-acties uit
Uit analyse van de LabRat-malware blijkt dat de dreiging een relatief typisch voorbeeld is van een tool voor cryptojacking en proxy jacking. Bij een cryptojacking-campagne gebruiken de aanvallers heimelijk de computer van het slachtoffer om cryptocurrency te minen, waarbij ze winst genereren door de bronnen van het slachtoffer te exploiteren. Aan de andere kant houdt een proxy-jacking-campagne in dat de computer van het slachtoffer stilletjes wordt aangesloten op een peer-to-peer netwerk voor het delen van bandbreedte, wat de aanvaller ten goede komt door zijn bronnen uit te breiden.
De aanvalsmethode is gebaseerd op een erkende kwetsbaarheid binnen de GitLab-servers (CVE-2021-2205), waarbij deze wordt misbruikt om code op afstand uit te voeren en de malware-payload op de besmette machine te introduceren.
Wat deze specifieke aanvalscampagne echter onderscheidt, is de opmerkelijke toewijding die de makers van malware aan de dag legden bij het verbergen van hun code. Bovendien voegt de adoptie van de TryCloudFlare-service om het verkeer te routeren een extra laag toe, waardoor de identiteit van de aanvallers effectief wordt gemaskeerd voor de systemen die ze hebben gecompromitteerd.
De LabRat-aanvalsoperatie toont aanzienlijke focus op stealth
De LabRat-malware is versterkt met robuuste encryptie en geavanceerde anti-reverse engineering-technieken, waardoor de detectie ervan een buitengewoon uitdagende taak wordt. De persistentie-binaire bestanden, gecodeerd in Go, vertoonden een opmerkelijk vermogen om onopgemerkt te blijven, net als de cryptominer-componenten die bij de aanval werden gebruikt.
Onderzoekers merkten op dat de LabRat-groep een uitzonderlijk niveau van toewijding had getoond in hun pogingen om de code te verdoezelen, waardoor de dreigende lading heimelijk kon opereren. De dreigingsactoren achter deze campagne lijken inderdaad meer nadruk te leggen op het handhaven van stealth dan vele anderen, omdat ze erkennen dat tijd direct overeenkomt met meer financieel gewin. Hoe langer ze hun toegang kunnen behouden terwijl ze de proxy jacking- en cryptomining-software draaien, hoe groter hun geldelijke rendement.
Het belang van onopgemerkt blijven is vooral belangrijk in de context van proxy jacking, waarbij de effectiviteit van een niet-toewijsbaar netwerk rechtstreeks verband houdt met het aantal knooppunten daarin. Als het aantal knooppunten afneemt, wordt de service kwetsbaar voor blokkering of eenvoudigweg ineffectief worden.
