JelusRAT

JelusRAT — это троянская программа удалённого доступа (RAT), которая предоставляет киберпреступникам скрытый контроль над скомпрометированными компьютерами. Разработанная на C++, она использует специализированный загрузчик для расшифровки и высвобождения своей основной полезной нагрузки. Вместо установки в виде традиционного файла, вредоносная программа выполняется непосредственно в памяти, что значительно уменьшает её присутствие на диске и затрудняет обнаружение. Если JelusRAT обнаружен в системе, немедленное удаление имеет решающее значение для предотвращения дальнейшего компрометирования.

Замаскированный загрузчик и выполнение без файлов

Цепочка заражения начинается с загрузчика, который маскируется под легитимное приложение. Этот компонент скрывает два зашифрованных сегмента: один содержит основное вредоносное ПО, а другой хранит данные конфигурации. После активации загрузчик расшифровывает основную полезную нагрузку и запускает её непосредственно в системную память, после чего удаляет себя, чтобы стереть улики. Эта «бесфайловая» техника специально разработана для обхода традиционных средств защиты и криминалистического анализа.

Обработка конфигураций и тактика скрытого проникновения

После выполнения основная полезная нагрузка обращается к конфигурационному файлу с именем Info.ini для получения инструкций по работе. Сразу после чтения файла она удаляет его, чтобы минимизировать следы вторжения. Данные внутри этого файла обфусцированы, и небольшое встроенное значение, расположенное в первом байте, используется вредоносной программой для расшифровки инструкций перед их выполнением.

Возможности дистанционного управления и обработки команд.

JelusRAT создан для приема ряда команд с сервера злоумышленника. Он может объявить себя критически важным системным процессом, что означает, что любая попытка принудительно завершить его может вызвать синий экран смерти Windows, эффективно препятствуя ручному удалению. Вредоносная программа также способна отключать эту функцию, изменять способ взаимодействия со своей инфраструктурой управления и контроля или завершать работу по указанию.

Модульная платформа на основе плагинов

Вместо того чтобы содержать все вредоносные функции внутри себя, JelusRAT функционирует в первую очередь как фреймворк. Он может загружать дополнительные дополнения в виде DLL-плагинов с сервера злоумышленника, расширяя свою функциональность по запросу. Большая часть его возможностей реализуется через эти модули, что позволяет злоумышленникам адаптировать вредоносное ПО к различным целям без повторного развертывания всей полезной нагрузки.

JelusRAT можно использовать для внедрения других типов вредоносного ПО, в том числе:

• Программы-вымогатели, майнеры криптовалюты и инструменты для кражи информации.
• Дополнительные вредоносные программы, которые усугубляют или расширяют компрометацию системы.

Почему JelusRAT представляет собой серьезную опасность

JelusRAT выделяется как скрытая и чрезвычайно гибкая угроза. Его выполнение в оперативной памяти, самоудаляющееся поведение и плагинная архитектура позволяют ему избегать обнаружения, сохраняя при этом постоянный, адаптируемый контроль над зараженными системами. Эти особенности делают его особенно опасным, поскольку он может легко служить стартовой площадкой для более разрушительных вредоносных программ и крупномасштабных киберпреступных операций.

Распространенные переносчики инфекции и способы распространения

Вредоносное ПО, такое как JelusRAT, чаще всего распространяется с помощью социальной инженерии и обманных онлайн-методов. Злоумышленники обычно заманивают жертв, заставляя их запускать вредоносные файлы, замаскированные под легитимный контент, включая исполняемые файлы, скрипты и документы в форматах Word, Excel, PDF или ISO. Кампании по заражению часто используют фишинговые электронные письма, поддельную рекламу, мошенничество с технической поддержкой, пиратское программное обеспечение и взломанные веб-сайты для доставки этих вредоносных программ.

К другим распространенным каналам распространения относятся зараженные USB-накопители, пиринговые сети, сторонние утилиты для загрузки и использование уязвимостей в незащищенном программном обеспечении. В большинстве случаев успешное заражение происходит потому, что пользователей обманом заставляют совершить действие, которое, сами того не подозревая, предоставляет вредоносному ПО возможность закрепиться в системе.