SafeBreach-forskare märkte en trojan för fjärråtkomst som heter CodeRAT, som kan utföra en mängd olika skadliga aktiviteter när den väl har installerats på målsystemet.
CodeRAT kommer från Iran och riktar sig till farsi-talande mjukvaruutvecklare för att stjäla deras arbete från IDE:er och annan känslig information. Denna RAT kan kontrolleras av en Telegram-bot och använder en offentlig anonym filuppladdnings-API för att exfiltrera stulen data.
En sofistikerad RAT-inriktad mjukvaruutvecklare
För det mesta distribueras trojaner med fjärråtkomst av två huvudskäl: för att stjäla målets data eller använda den som en bakdörr för andra skadliga operationer, såsom ransomware.
RAT-kod är en av dem, skapad för att stjäla jobb och annan konfidentiell data från farsi-talande mjukvaruutvecklare. Koden sägs ha sitt ursprung i Iran och är sofistikerad i att stjäla data på ovanliga sätt, säger SafeBreach-forskare.
Förklara hur detta fungerar, Forskare sa att skadlig programvara stöder cirka 50 kommandon som att ta skärmdumpar, kopiera innehåll från urklipp, få en lista över pågående processer, avsluta processer, kontrollera GPU-användning, ladda ner, ladda upp, ta bort filer och köra program.
Det är användbart för att spionera på känsliga fönster för verktyg som Visual Studio, Python, PhpStorm och Verilog. CodeRAT-distribution börjar med att ett Word-dokument skickas till destinationen, vilket inkluderar en Microsoft Dynamic Data Exchange (DDE) exploatering.
Intet ont anande personer som laddar ner och utför utnyttjandet (CodeRAT) kommer att erbjuda sig själva till hotaktören, som kan utföra skadliga attacker på distans från en Telegram-bot! Som forskarna noterade, CodeRAT använder en Telegram-baserad mekanism istället för den vanliga vanliga kommando- och kontrollserverinställningen.
Väl inne kommer hotaktören, genom sitt användargränssnitt, skicka ett kommando som kommer att fördunklas och skickas på något av tre sätt;
- Telegram bot API med proxy (inga direkta förfrågningar)
- Manuellt läge (inkluderar USB-alternativ)
- Kommandon lagrade lokalt i mappen “myPictures”.
Hotaktören använder samma tre sätt ovan för att exfiltrera den stulna informationen också. Lägger till sina datastöldmöjligheter, CodeRAT kan till och med kvarstå mellan systemstarter utan att göra några ändringar i Windows-registret – låt oss säga, forskare, utan att specificera exakt hur.
Tja, även om det sades vara riktat till farsi-talande mjukvaruutvecklare, har författaren till CodeRAT öppnat den skadliga koden efter att ha kontaktats av forskare, vilket nu sätter hela samhället i fara.
