ReverseRat

Forscher haben eine potenziell schädliche Angriffskampagne entdeckt, bei der ein zuvor unbekannter Remote-Access-Trojaner (RAT) namens ReverseRat eingesetzt wird. Die Bedrohung wurde zusammen mit einer Open-Source-RAT namens AllaKore gegen eine begrenzte Anzahl ausgewählter Ziele eingesetzt, die in kritischen Industriesektoren tätig sind. Zu den identifizierten Opfern gehören eine ausländische Regierungsorganisation, ein Stromübertragungsunternehmen und ein Stromerzeugungs- und -übertragungsunternehmen. Fast alle Organisationen, die in der ReverseRat-Kampagne beobachtete Zeichen im Einklang mit den IoC (Indicators of Compromise) angebracht haben, befinden sich in Indien, wobei nur eine kleine Zahl von Opfern aus Afghanistan stammt. Der für die Angriffe verantwortliche Bedrohungsakteur scheint entweder von Pakistan aus zu operieren oder Verbindungen zum Land zu haben.

Die Fähigkeiten von ReverseRat

Nach erfolgreicher Bereitstellung im internen Netzwerk des Opfers ermöglicht ReverseRat dem Angreifer, je nach seinen speziellen Zielen, zahlreiche bedrohliche Aktivitäten durchzuführen. Fangen wir von vorne an – die Bedrohung beginnt ihren Betrieb, indem sie das kompromittierte Gerät aufzählt und verschiedene Daten über die Windows Management Instrumentation (WMI) sammelt. Zu den gesammelten Informationen gehören die MAC-Adresse des Geräts, der damit verbundene physische Speicher und zahlreiche CPU-Details - Max. Taktrate, Modellname, Hersteller usw. ReverseRat ermittelt auch den Computernamen, das Betriebssystem und die öffentliche IP-Adresse über die .Net-Framework.

Alle gesammelten Daten werden dann codiert und an einen Command-and-Control (C2, C&C)-Knoten gesendet. ReverseRat wartet dann darauf, einen entsprechenden Befehl zu erhalten, der seinen vorgefertigten Funktionen entspricht. Der Bedrohungsakteur kann die RAT anweisen, die Dateistruktur auf dem System zu ändern, sowie Ausführen, Starten oder Beenden bestimmter Prozesse, Sammeln von Daten aus der Zwischenablage, Erstellen von Screenshots und Ausführen beliebiger Befehle aus einem versteckten cmd.exe-Fenster. Dieser grundlegende Funktionsumfang könnte jedoch mit zusätzlichen Modulen erweitert werden, die ReverseRat herunterladen und auf dem beschädigten System initiieren kann.

RATs sind äußerst bedrohliche Malware und selbst Organisationen, die nicht unter die aktuellen Kriterien der Opfer der ReverseRat fallen, sollten die notwendigen Vorkehrungen treffen und ihre Sicherheitsmaßnahmen anpassen.