Den Forschern von SafeBreach ist ein Fernzugriffs-Trojaner namens CodeRAT aufgefallen, der nach seiner Bereitstellung auf dem Zielsystem eine Vielzahl bösartiger Aktivitäten ausführen kann.
CodeRAT kommt aus dem Iran und zielt auf Farsi sprechende Softwareentwickler ab, um deren Arbeit aus IDEs und anderen sensiblen Informationen zu stehlen. Diese RAT kann von einem Telegram-Bot gesteuert werden und verwendet eine öffentliche, anonyme Datei-Upload-API, um gestohlene Daten herauszufiltern.
Ein erfahrener RAT-Targeting-Softwareentwickler
In den meisten Fällen werden RAS-Trojaner aus zwei Hauptgründen eingesetzt: um die Daten des Ziels zu stehlen oder sie als Hintertür für andere böswillige Operationen wie Ransomware zu nutzen.
RATCode ist einer von ihnen, der geschaffen wurde, um die Jobs und andere vertrauliche Daten von Farsi sprechenden Softwareentwicklern zu stehlen. Der Code soll aus dem Iran stammen und ist laut SafeBreach-Forschern hochentwickelt darin, Daten auf ungewöhnliche Weise zu stehlen.
Erklären Sie, wie das funktioniert, Forscher sagten, dass die Malware etwa 50 Befehle unterstützt B. Screenshots erstellen, Inhalte aus der Zwischenablage kopieren, eine Liste laufender Prozesse abrufen, Prozesse beenden, GPU-Nutzung überprüfen, Dateien herunterladen, hochladen, löschen und Programme ausführen.
Es ist nützlich, um sensible Fenster für Tools wie Visual Studio, Python, PhpStorm und Verilog auszuspionieren. Die CodeRAT-Bereitstellung beginnt mit dem ersten Senden eines Word-Dokuments an das Ziel, einschließlich eines Microsoft Dynamic Data Exchange (DDE)-Exploits.
Ahnungslose Personen, die den Exploit (CodeRAT) herunterladen und ausführen, bieten sich dem Bedrohungsakteur an, der bösartige Angriffe aus der Ferne von einem Telegram-Bot aus durchführen kann! Wie die Forscher feststellten, CodeRAT verwendet einen Telegram-basierten Mechanismus anstelle des üblichen üblichen Befehls- und Kontrollserver-Setups.
Sobald der Bedrohungsakteur sich im Inneren befindet, sendet er über seine Benutzeroberfläche einen Befehl, der verschleiert und auf eine von drei Arten gesendet wird:
- Telegram-Bot-API mit Proxy (keine direkten Anfragen)
- Manueller Modus (einschließlich USB-Option)
- Befehle werden lokal im Ordner „myPictures“ gespeichert
Der Bedrohungsakteur nutzt die gleichen drei oben genannten Methoden, um die gestohlenen Daten ebenfalls zu exfiltrieren. Zusätzlich zu seinen Datendiebstahlfähigkeiten, CodeRAT kann sogar zwischen Systemneustarts bestehen bleiben, ohne dass Änderungen an der Windows-Registrierung vorgenommen werden müssen – sagen wir Forscher, ohne genau anzugeben, wie.
Nun, obwohl es angeblich auf Farsi-sprechende Softwareentwickler abzielte, hat der Autor von CodeRAT den Schadcode auf Anfrage von Forschern als Open-Source-Software veröffentlicht, was nun die gesamte Community gefährdet.
