ПИ#РАТИОН РАТ
Нова кампања напада је ухваћена у дивљини. Претећа операција користи нови злонамерни софтвер заснован на Питхон-у назван ПИ#РАТИОН РАТ. Као што је типичан случај са овим тројанцима за даљински приступ (РАТ), ПИ#РАТИОН има свеобухватан скуп штетних могућности, укључујући ексфилтрацију података и кеилоггинг. Оно што ову претњу чини посебно јединственом је њена употреба ВебСоцкетс-а за комуникацију и ексфилтрацију команди и контроле (Ц2, Ц&Ц), као и њена способност да избегне откривање помоћу решења за заштиту од малвера и мера безбедности мреже.
Детаљи о ПИ#РАТИОН РАТ-у откривени су у извештају истраживача сајбер безбедности. Према њиховим налазима, сајбер криминалци који стоје иза претње углавном су фокусирани на мете у Великој Британији или Северној Америци, судећи по мамцима за крађу идентитета који се користе као део напада.
Ланац напада ПИ#РАТИОН
Напад почиње обмањујућим пхисхинг емаил-ом који садржи ЗИП архиву. Унутар архиве налазе се две датотеке са пречицама (.ЛНК), које се представљају као предња и задња слика наводно оригиналне возачке дозволе УК. Након отварања сваке од ових .ЛНК датотека, две текстуалне датотеке се преузимају са удаљеног сервера и затим чувају као .БАТ датотеке.
Док се жртви приказују лажне слике, штетне датотеке се нечујно извршавају у позадини система. Поред тога, са Ц2 сервера се преузима још једна скупна скрипта која добија друге корисне податке, укључујући Питхон бинарни фајл под називом „ЦортанаАссистанце.еке“. Коришћење Цортане, Мицрософтовог виртуелног помоћника, имплицира да су нападачи можда покушали да прикрију свој оштећени код као легитимну системску датотеку.
ПИ#РАТИОН РАТ-ове штетне способности
Откривене су две верзије тројанца ПИ#РАТИОН (верзије 1.0 и 1.6). Новија верзија укључује скоро 1.000 линија додатног кода, који додаје функције скенирања мреже за испитивање угрожених мрежа и слој шифровања преко Питхон кода помоћу фернет модула. Поред тога, претња може да пренесе датотеке са оштећеног хоста на његов Ц2 сервер и обрнуто.
РАТ може почети да снима притиске на тастере, извршава системске команде, издваја лозинке и колачиће из веб претраживача, снима податке међуспремника и открива присуство безбедносног софтвера. Актери претњи могу да користе ПИ#РАТИОН као пролаз за примену терета других претњи, као што је други Питхон-базирани крадљивац информација експлицитно креиран за прикупљање података из веб претраживача и новчаника криптовалута.
