Дора РАТ

Актер претњи повезан са Северном Корејом, познат као Андариел, примећен је како користи нови бацкдоор базиран на Голангу под називом Дора РАТ у својим нападима на образовне институте, производне фирме и грађевинске компаније у Јужној Кореји. Кеилоггер, инфостеалер и проки алати на врху бацкдоор-а су коришћени за нападе. Актер претње је вероватно користио ове врсте малвера да контролише и украде податке из заражених система.

Нападе карактерише коришћење рањивог Апацхе Томцат сервера за дистрибуцију малвера, додала је јужнокорејска фирма за сајбер безбедност, напомињући да је систем у питању покренуо верзију Апацхе Томцат-а из 2013, што га чини подложним неколико рањивости.

Андариел АПТ је главни глумац на месту сајбер злочина

Андариел , такође познат по псеудонима као што су Ницкет Хиатт, Оник Слеет и Силент Цхоллима, чини групу за напредну персистентну претњу (АПТ) усклађену са стратешким циљевима Северне Кореје од најмање 2008.

Као фракција у оквиру опсежне Лазарус групе , овај противник демонстрира историју коришћења спеар-пхисхинга, напада на воду и искоришћавања познатих софтверских рањивости да би добио почетни приступ и ширио малвер преко циљаних мрежа.

Иако истраживачи нису открили детаље у вези са методологијом напада за примену малвера, истакнуто је да је коришћена варијанта утврђеног Нестдоор малвера. Ова варијанта поседује функционалности које јој омогућавају да прима и извршава команде са удаљеног сервера, преноси датотеке, покреће обрнуту шкољку, прикупља податке међуспремника и притиска на тастере и ради као прокси.

Андариел АПТ је поставио Дора РАТ на компромитоване уређаје

Напади су користили неоткривена позадинска врата позната као Дора РАТ, раније недокументована. Окарактерисан је као једноставан злонамерни софтвер са функцијама за обрнути рад љуске и могућностима преноса датотека.

Штавише, нападач је користио важећи сертификат да би потписао и дистрибуирао Дора РАТ малвер. Потврде указују да су одређене врсте Дора РАТ-а коришћене у нападима потписане легитимним сертификатом издатим програмеру софтвера у Уједињеном Краљевству.

Међу асортиманом малвера примењених у овим нападима, постоји кеилоггер представљен кроз модернизовану варијанту Нестдоор-а, заједно са специјализованом компонентом за крађу података и СОЦКС5 проки алатом који дели сличности са оним који користи Лазарус група у ТхреатНеедле -у 2021. кампања.

Група Андариел се истиче као један од најактивнијих актера претњи који делују у Кореји, поред група Кимсуки и Лазарус. Првобитно фокусирани на прикупљање обавештајних података о националној безбедности, они су проширили свој обим на финансијски мотивисане нападе.

Пацовске инфекције могу довести до разорних последица за жртве

Тројанци за даљински приступ (РАТ) могу нанети разорне последице на жртве због своје наметљиве и тајне природе. Ево зашто:

• Неовлашћени приступ : РАТ-ови дају нападачима неограничен приступ зараженим системима. Овај приступ им омогућава да извршавају команде, инсталирају или деинсталирају софтвер, мењају датотеке и даљински манипулишу системским поставкама, у суштини дајући им потпуну контролу над уређајем жртве.
• Крађа података и надзор : РАТ-ови често укључују функције као што су кеилоггинг, снимање екрана и отмица веб камере, омогућавајући нападачима да прате активности жртава у реалном времену. Ова могућност надзора омогућава крађу осетљивих информација, укључујући лозинке, финансијске податке, личне разговоре и интелектуалну својину.
• Компромитација система : РАТ-ови могу угрозити интегритет и функционалност заражених система. Нападачи могу да онеспособе безбедносни софтвер, измене конфигурације система или чак примене додатни садржај злонамерног софтвера, што доводи до нестабилности система, оштећења података и губитка продуктивности.
• Ширење и компромитовање мреже : РАТ-ови могу олакшати ширење малвера унутар мреже. Једном када је један уређај заражен, нападачи могу користити компромитовани систем као лансирну подлогу за инфилтрирање у друге повезане уређаје, сервере или инфраструктурне компоненте, што потенцијално може да изазове велику штету и поремећаје.
• Дугорочна постојаност : РАТ-ови су дизајнирани да одржавају упоран приступ зараженим системима. Чак и ако су почетни покушаји откривања и уклањања успешни, нападачи могу поново да инсталирају или поново активирају малвер, обезбеђујући континуирани приступ и контролу над компромитованим уређајима током дужег временског периода.
• Оштећење угледа и правне последице : успешан РАТ напад може имати озбиљне последице по жртве, укључујући оштећење њихове репутације, губитак поверења купаца и правне одговорности. Кршење осетљивих података може довести до регулаторних казни, тужби и других правних последица, додатно погоршавајући репутацију и финансијски утицај на погођене организације.

Укратко, РАТ инфекције представљају значајну претњу жртвама, у распону од неовлашћеног приступа и крађе података до компромитовања система, ширења мреже и дугорочне истрајности. Проактивне мере сајбер безбедности, укључујући редовна ажурирања софтвера, робусну заштиту крајњих тачака, обуку о свести корисника и планирање одговора на инциденте, су обавезне за ублажавање ризика повезаних са РАТ нападима.