MIMICRAT: die RAT, die in legitimen Websites getarnt ist und im Speicher arbeitet, um die Kontrolle Ihrer Systeme zu übernehmen

Cybersecurity-Forscher haben eine ausgefeilte Kampagne, die legitime Websites missbraucht, die verpflichtet sind, einen entfernten Trojaner so weit unöffentlich dokumentiert, genannt MIMICRAT (auch bekannt als AstarionRAT). Die jüngste Analyse von Elastic Security Labs zeigt, wie Angreifer Social Engineering-Techniken, PowerShell-Ketten und in-Speicher-Payloads kombinieren, um Persistenz und Fernbedienung über Windows-Maschinen zu erreichen; Sie können den vollständigen Bericht auf der Elastischen Website sehen, um die relevanten Indikatoren und Telemetrie zu sehen: Elastische Sicherheitslabore - MIMICRAT.

Die Intrusion beginnt sehr diskret: legitime Seiten werden modifiziert, um bösartigen Code zu bedienen, der wiederum extern gehostete Skripte lädt. In dem von Elastic dokumentierten Fall war der betreffende Dienst bincheck [.] io, eine BIN-Validierungsstelle (Bank-Identifikationsnummer). Das injizierte JavaScript leitet das Opfer in ein PHP-Skript um, das eine Cloudflare-Verifikation simuliert und den Benutzer davon überzeugt, einen Befehl in das Windows-Laufwerk zu kopieren und einzufügen. Diese einfache Geste löst die Ausführung einer PowerShell-Kette aus, die einen Befehls- und Steuerserver (C2) kontaktiert, um die nächste Stufe des Angriffs herunterzuladen.

Die Raffinesse der Kette ist bemerkenswert: Das zweite PowerShell-Skript ist nicht auf den laufenden Code beschränkt; es verändert das Verhalten des Systems, um eine Erkennung zu vermeiden. Unter den dokumentierten Aktionen sind Manipulationen an Windows-Event-Telemetrie und Microsofts Anti-Malware-Schnittstelle, die jeweils als ETW (Event Tracing for Windows) und AMSI (Antimalware Scan Interface) bekannt sind. Beide Mechanismen sind genau die Verteidigungen, auf denen die Betreiber versuchen, ihre Nutzlast zu schlüpfen, ohne beobachtet zu werden - um diese Komponenten zu vertiefen, hält Microsoft technische Dokumentation: ETW und ANSI.

Sobald diese Barrieren abgebaut werden, liefert der Prozess einen in Lua geschriebenen Loader, der Shellcode direkt im Speicher entschlüsselt und ausführt. Dieser Shellcode installiert schließlich den MIMICRAT Agent, der über den Port 443 mit seinem C2 über HTTPS kommuniziert. Die Wahl von HTTPS und die Emulation von eigenen Verkehrsmustern von Webanalyse-Tools erleichtern die Offensive-Telemetrie unbemerkt zwischen legitimen Kommunikationen.

Aus funktioneller Sicht ist MIMICRAT ein benutzerdefiniertes Software-Stück auf C + +, das eine breite Palette von Post-Betriebsfähigkeiten bietet. Unter seinen Fakultäten sind die Supplantierung von Windows-Tokens, um Privilegien zu skalieren, die Schaffung von SOCKS5-Tunnel für Routing-Verkehr, und eine umfangreiche Reihe von Befehlen - nach Elastic, etwa 22 -, die Prozesssteuerung und Dateisystem, Zugriff auf eine interaktive Shell, Shellcode-Injektion und Proxy-Funktionalität. Es ist im Wesentlichen ein ziemlich komplettes Kit für seitliche Bewegung, Stealth und Exfiltration.

Ein weiterer relevanter Aspekt des Angriffs ist sein internationaler Charakter und seine massive Orientierung: Der den Opfern gezeigte Köder befindet sich dynamisch in 17 verschiedenen Sprachen, so dass der Köder an die Sprache des Browsers angepasst ist und die Wahrscheinlichkeit des Betrugs erhöht. Die von Forschern identifizierten Opfer umfassen von akademischen Institutionen in den Vereinigten Staaten zu Nutzern in chinesisch-sprachigen Foren, die auf eine opportunistische Kampagne mit weitem geographischen Rahmen verweist.

Die von Elastic beobachteten Spuren fallen auch in der Taktik und in der Infrastruktur mit einer anderen von Huntress veröffentlichten Forschung zusammen, die ClickFix-Kampagnen im Zusammenhang mit der Verwendung des Matanbuchus 3.0 Ladegeräts als Brücke zu der gleichen Art von RAT beschreibt. Wenn Sie zusätzliche Analysen und operativen Kontext überprüfen möchten, enthält Huntress Forschungsseite technische Artikel und Nachweisbeispiele: Huntress - Blog.

Was ist der Angreifer danach? Obwohl es nicht immer möglich ist, die endgültige Absicht mit voller Sicherheit zu bestätigen, passen alle Elemente des Angriffs - die Fähigkeit, Tunnel zu etablieren, Token zu betreiben, willkürliche Befehle auszuführen und Kommunikation zu verbergen - mit typischen Zielen der Ansomware oder Massendatenextraktion. In anderen Fällen mit ähnlichen Mustern haben die Akteure den ersten Zugriff auf die Bereitstellung von destruktiven Lasten genutzt oder große Informationsmengen außerhalb des kompromittierten Netzwerks geleitet.

Für Organisationen und Benutzer sind die Lektionen klar und sollten mit Priorität angewendet werden: Misstrauen der Anweisungen, die zu kopieren und zu fügen Befehle auf einer Konsole oder in Run, überprüfen Sie die Integrität von Drittanbieter-Seiten als wiederkehrende Dienste verwendet und stärken die Erkennung am Ende durch Überwachungslösungen, die anormale Verhaltensweisen überwachen, nicht nur Signaturen. Darüber hinaus sind der Schutz der Mechanismen, die Angreifer zu manipulieren suchen - wie ETW und AMSI - und die Sichtbarkeit von Prozessen, die ausführbare Downloads oder Speicherinjektion durchführen, kritische Elemente der Verteidigung. Um besser zu verstehen, was ein RAT ist und warum sie so gefährlich sind, ist es nützlich, Referenzressourcen wie das Kaspersky Bedrohungszentrum zu konsultieren: Kaspersky - Remote Access Trojans.

Kampagnen dieser Art offenbaren zwei Realitäten: Angreifer bevorzugen das Vertrauen, dass Menschen in legitime Dienste und traditionelle Verteidigungen nicht ausreichen, wenn die Kette von Angriffen in Erinnerung geführt wird und Unterschriften vermeidet. Die Antwort erfordert sowohl technische Aktionen - verschlüsselte Verkehrsüberwachung, Netzwerksegmentierung, Endpunkte Aushärtung und Prozessanomalienerkennung - und organisatorische Maßnahmen, die das Risiko eines Benutzers mit gefährlichen Befehlen reduzieren. Der Elastische Bericht bietet Indikatoren und Techniken, die bei der Erkennung und Vermittlung helfen können; die Überprüfung und Korrelation mit internen Aufzeichnungen ist ein guter Anfangsschritt für jedes Sicherheitsteam.