ResolverRAT skadlig programvara

Cybersäkerhetsforskare har identifierat en sofistikerad fjärråtkomsttrojan vid namn ResolverRAT, som aktivt används i attacker mot sjukvården och läkemedelssektorn. Denna nyupptäckta skadliga programvara utgör en allvarlig risk på grund av dess smygande beteende och komplexa infektionsmekanismer.

Nätfisketaktik: Rädsla som ett vapen

Kampanjen börjar med rädsla framkallande nätfiske-e-postmeddelanden, utformade för att få mottagare att snabbt klicka på en skadlig länk. Dessa beten refererar ofta till juridiska problem eller upphovsrättsbrott, utformade för att skapa panik och framkalla en förhastad reaktion. När du klickar på länken leder den till nedladdningen av en fil som initierar ResolverRAT-infektionskedjan.

Regionspecifikt bedrägeri

Ett framstående element i den här kampanjen är användningen av lokaliserat nätfiskeinnehåll. E-postmeddelanden är skrivna på modersmålen i de riktade regionerna – hindi, italienska, tjeckiska, turkiska, portugisiska och indonesiska – vilket lyfter fram angriparnas avsikt att öka infektionsframgången genom regionspecifik anpassning.

Infektionsmekanik: en smygande kedjereaktion

ResolverRAT använder DLL-sidoladdning för att starta sin infektionskedja. Det första steget använder en in-memory loader för att dekryptera och köra den primära nyttolasten, som är krypterad, komprimerad och aldrig skriven till disk. Dessa tekniker gör det möjligt att förbli oupptäckt av traditionella säkerhetsverktyg.

Motståndskraft genom redundans

Denna skadliga programvara förlitar sig inte bara på smyg – den är byggd för att överleva. ResolverRAT använder en bootstrapping-process i flera steg med redundanta persistensmekanismer, som bäddar in sig på olika platser i Windows-filsystemet och registret. Detta säkerställer att även om en del av skadlig programvara tas bort kan den återupprätta sig själv.

Avancerad C2-infrastruktur: gömmer sig i sikte

När den är aktiv initierar ResolverRAT certifikatbaserad autentisering för att kommunicera med sin Command-and-Control-server (C2), vilket kringgår rotauktoritetsvalidering. Den har till och med IP-rotation för att byta C2-servrar om en tas ner, vilket ytterligare komplicerar upptäckt och nedtagning.

Evasion Mastery: Osynlig men närvarande

För att hålla sig under radarn utnyttjar ResolverRAT certifikatstiftning, förvirring av källkod och oregelbundna beaconningsmönster. Dessa metoder döljer inte bara sin närvaro utan motverkar också standarddetekteringstekniker som används i säkerhetssystem.

Tyst dataexfiltrering

Skadlig programvaras primära mål är att ta emot kommandon från C2-servern och exfiltrera data. Den delar upp stora datafiler i 16 KB-bitar, vilket minskar risken för upptäckt av nätverksövervakningsverktyg.

Tillskrivning fortfarande oklart, men mönster dyker upp

Även om attackkampanjen förblir otillräcklig, tyder likheter i infrastruktur, teman och tekniker – särskilt användningen av DLL-sidoladdning och nätfiske – en möjlig länk till tidigare dokumenterade attacker. Denna överlappning kan peka på ett delat affiliatenätverk eller samordnad hotaktörsaktivitet.

Slutsats: Ett ihållande, undvikande cyberhot

ResolverRAT exemplifierar nästa generation av skadlig programvara – smygande, anpassningsbar och motståndskraftig. Dess design återspeglar en sofistikerad förståelse för moderna cybersäkerhetsförsvar, vilket gör det till ett formidabelt hot mot riktade industrier och en högprioriterad oro för försvarare.