ReverseRat

Uma campanha de ataque potencialmente prejudicial empregando um Trojan de Acesso Remoto (RAT) anteriormente desconhecido, denominado ReverseRat, foi detectada pelos pesquisadores. A ameaça, junto com um RAT de código aberto chamado AllaKore, foi implantada contra um conjunto restrito de alvos selecionados que operam em setores críticos da indústria. Algumas das vítimas identificadas incluem uma organização governamental estrangeira, uma empresa de transmissão de energia e uma organização de geração e transmissão de energia. Quase todas as organizações que exibiram sinais consistentes com os IoC (Indicadores de Compromisso) observados na campanha ReverseRat estão localizadas na Índia, com apenas um pequeno número de vítimas sendo do Afeganistão. Quanto ao ator da ameaça responsável pelos ataques, parece estar operando no Paquistão ou ter laços com o país.

Capacidades do ReverseRat

Uma vez implantado na rede interna da vítima com sucesso, o ReverseRat permite que o agente da ameaça execute várias atividades ameaçadoras, dependendo de seus objetivos específicos. Vamos começar do início - a ameaça começa sua operação enumerando o dispositivo comprometido e coletando vários dados sobre ele por meio da Instrumentação de Gerenciamento do Windows (WMI). Entre as informações coletadas estão o endereço MAC do dispositivo, a memória física conectada a ele e vários detalhes da CPU - velocidade máxima do relógio, nome do modelo, fabricante, etc. O ReverseRat também determina o nome do computador, o sistema operacional e o endereço de IP público por meio do .Net framework.

Todos os dados coletados são então codificados e enviados para um nó de Comando e Controle (C2, C&C). O ReverseRat, então, espera para receber um comando apropriado que corresponda às suas funções pré-construídas. O ator da ameaça pode instruir o RAT a modificar a estrutura do arquivo no sistema; execute, inicie ou elimine processos especificados, colete dados da área de transferência, faça capturas de tela e execute comandos arbitrários de uma janela cmd.exe oculta. Este conjunto básico de funcionalidade, no entanto, pode ser expandido com módulos adicionais que ReverseRat pode baixar e iniciar no sistema violado.

Os RATs são malwares extremamente ameaçadores e mesmo as organizações que não se enquadram nos critérios atuais das vítimas do ReverseRat devem tomar as precauções necessárias e ajustar suas medidas de segurança.