NetSupport RAT

Sectoarele educației, guvernamentale și serviciilor de afaceri sunt atacate de actori amenințări care folosesc un troian de acces la distanță cunoscut sub numele de NetSupport RAT. Acest software amenințător este furnizat prin actualizări înșelătoare, descărcări drive-by, utilizarea de încărcătoare de malware precum GHOSTPULSE și diferite tipuri de campanii de phishing. În doar câteva săptămâni, cercetătorii în domeniul securității cibernetice au identificat numeroase infecții legate de NetSupport RAT.

NetSupport RAT a început ca un instrument legitim

Deși NetSupport Manager a servit inițial ca un instrument legitim de administrare de la distanță conceput pentru asistență tehnică, a fost reutilizat în mod brutal de către actorii amenințărilor. Ei exploatează instrumentul ca punct de sprijin pentru a efectua atacuri ulterioare. NetSupport RAT este de obicei implementat pe computerul unei victime prin site-uri web înșelătoare și actualizări frauduloase ale browserului.

În 2022, cercetătorii în domeniul securității cibernetice au descoperit o campanie de atac direcționat care implică site-uri WordPress compromise. Aceste site-uri au fost utilizate pentru a prezenta pagini false de protecție Cloudflare DDoS, ceea ce a condus la diseminarea NetSupport RAT.

Cum infectează NetSupport RAT dispozitivele vizate?

Implementarea actualizărilor contrafăcute de browser web este o strategie legată în mod obișnuit de utilizarea unui program malware de descărcare bazat pe JavaScript, numit SocGholish (cunoscut și sub numele de FakeUpdates). Această variantă de malware a fost, de asemenea, observată diseminarea unui malware de încărcare identificat ca BLISTER .

Sarcina utilă JavaScript declanșează apoi PowerShell să stabilească o conexiune cu un server la distanță, preluând un fișier de arhivă ZIP care conține NetSupport RAT. La instalare, acest RAT începe să comunice cu un server de comandă și control (C2, C&C).

Odată instalat pe deplin pe dispozitivul unei victime, NetSupport dobândește capacitatea de a monitoriza activități, de a transfera fișiere, de a manipula configurațiile computerului și de a se muta lateral pe alte dispozitive din rețea.

RAT-urile (troienii de acces la distanță) sunt printre cele mai dăunătoare amenințări malware

RAT-urile sunt considerate printre cele mai dăunătoare amenințări malware datorită capacității lor de a oferi acces neautorizat și control asupra computerului sau rețelei victimei. Iată câteva motive pentru care RAT-urile prezintă riscuri semnificative:

• Acces și control neautorizat : RAT-urile permit atacatorilor să obțină control complet asupra unui sistem vizat de la distanță. Acest nivel de acces le permite să execute diverse activități rău intenționate fără știrea sau consimțământul utilizatorului.
• Operare ascunsă : RAT-urile sunt proiectate să funcționeze pe ascuns, evitând adesea detectarea prin măsurile de securitate tradiționale. Natura lor ascunsă le permite să rămână nedetectați pentru perioade îndelungate, oferind atacatorilor timp suficient pentru a-și îndeplini obiectivele rău intenționate.
• Furtul de date și spionajul : RAT-urile pot fi folosite pentru a colecta informații sensibile, cum ar fi date personale, acreditări de conectare, informații financiare și proprietate intelectuală. Aceste date colectate pot fi exploatate pentru câștiguri financiare, spionaj corporativ sau alte atacuri cibernetice.
• Supraveghere și monitorizare : RAT-urile permit supravegherea în timp real a activităților unei victime. Atacatorii pot monitoriza apăsările de taste, pot captura capturi de ecran, accesa fișiere și chiar pot activa camerele web și microfoanele, ceea ce duce la o invazie gravă a confidențialității.
• Persistență : RAT-urile sunt adesea concepute pentru a menține persistența pe sistemele infectate, asigurându-se că acestea continuă să funcționeze chiar și după reporniri sau scanări ale software-ului de securitate. Această rezistență le face să fie dificil de îndepărtat complet.
• Propagarea și mișcarea laterală : odată ce un sistem este compromis, RAT-urile pot facilita mișcarea laterală într-o rețea, infectând mai multe dispozitive. Această capacitate permite atacatorilor să-și extindă controlul și, potențial, să provoace daune pe scară largă.
• Facilitarea atacurilor suplimentare : RAT-urile pot servi ca o poartă pentru alte tipuri de malware sau amenințări persistente avansate (APT). Atacatorii pot folosi sistemul compromis ca punct de lansare pentru alte atacuri, făcând breșa inițială un punct critic de vulnerabilitate.
• Utilizare în atacuri direcționate : RAT-urile sunt utilizate frecvent în atacuri direcționate împotriva anumitor persoane, organizații sau industrii. Personalizarea și adaptabilitatea lor le fac instrumente valoroase pentru infractorii cibernetici cu obiective specifice.

În general, combinația dintre stealth, persistență și gama largă de capabilități asociate cu RAT-urile le face deosebit de periculoase și o preocupare semnificativă pentru profesioniștii și organizațiile în securitate cibernetică. Prevenirea, detectarea și atenuarea impactului infecțiilor RAT necesită măsuri solide de securitate cibernetică și vigilență continuă.