Sighty Skulptur in Verteidigung und Regierung von Indien: Geta RAT, Ares RAT und DeskrAT in unentdeckt

In der neuesten Cybersicherheitsforschung wurde ein bereits bekanntes, aber stetig verfeinertes Muster neu entwickelt: Verteidigungsorganisationen und Organisationen, die mit der Regierung von Indien fluchten, werden durch digitale Spionagekampagnen gezielt, die versuchen, sowohl Windows- als auch Linux-Systeme zu engagieren. Die Angreifer verwenden Fernzugriffstools - bekannt als RAT -, die es erlauben, Informationen über lange Zeit auf infizierten Maschinen zu schweigen.

Unter den von Analysten identifizierten Malware-Familien sind Namen wie Geta RAT, Ares RAT und Deskrat. Diese Stücke funktionieren nicht isoliert: Sie sind mit Clustern von Bedrohungen mit angeblicher pakistanischen Affinität verbunden, identifiziert in der Gemeinschaft als Transparent Tribe (auch APT36 genannt) und SideCopy, letztere bewertet von einigen Teams als Unterabteilung, die seit Jahren in der gleichen Umlaufbahn tätig ist. Zur weiteren technischen Lektüre und Analyse sollten die Berichte derer, die diese Beobachtungen zuerst veröffentlicht haben, und die Kommentare der spezialisierten Teams konsultiert werden. auf Aryakas Blog und andere Unterschriften, die diesen Schauspielern folgen.

Die bevorzugte Eingangstür bleibt Social Engineering: Phishing-E-Mails mit schädlichen Anhängen oder Links zu Servern, die von den Angreifern kontrolliert werden. Von dort werden Infektionsketten in mehreren Stadien eingesetzt, die alte Tricks und neue Anpassungen kombinieren. Ein Beispiel für eine beobachtete Kette ist ein initialer Zugriff durch eine LNK-Datei (direkter Windows-Zugriff), die mshta.exe anruft, um eine HTA-Datei, die in legitimen kompromittierten Domänen gehostet wird, auszuführen. Dass HTA JavaScript enthalten kann, das eine eingebettete DLL entschlüsselt und lädt; die DLL verarbeitet verpackte Daten, hinterlässt ein decoy-Dokument (wie ein PDF) auf dem Datenträger, stellt die Kommunikation mit einem Steuer- und Steuerserver (C2) fest und zeigt dem Benutzer das decoy, um zu verhindern, dass Verdacht erhöht wird.

Diese Art von Raffinesse ist nicht lässig. Die Verwendung von Lures, die plausible Dokumente, die Vorliebe für eine zuverlässige Infrastruktur in der Region und die automatische Anpassung der Persistenzmethode nach dem Vorhandensein von Sicherheitslösungen sind Ressourcen, die dem Schauspieler helfen, "unter dem Rauschen zu arbeiten", wodurch die Wahrscheinlichkeit der Erkennung durch Administratoren und automatische Werkzeuge reduziert. Um Beispiele für zusätzliche technische Kampagnen und Analysen zu sehen, gibt es öffentliche Ressourcen von Forschungsteams und Unternehmen, die Cybersicherheit gewidmet sind als CYFIRMA oder Seiten spezialisierter Laboratorien als Seqrite Labs. Auch der Forscher, der spezifische Angriffsketten verbreitete, teilte Ergebnisse auf sozialen Netzwerken und technischen Plattformen ( Veröffentlichung)

Geta RAT bietet eine lange Liste von Funktionen, die für die Fernsteuerung und Exfiltration ausgelegt sind: Systeminformationserfassung, Prozess- und Anwendungsliste, spezifische Prozessabwicklung, Anmeldediebstahl, Clipboard-Handling, Bildschirmerfassung, Dateioperationen, beliebige Befehlsausführung und Datenextraktion von angeschlossenen USB-Geräten. Das heißt, es dient nicht nur dazu, Daten zu beobachten und zu bewegen, sondern auch das Vorhandensein des Angreifers in der gefährdeten Umgebung zu erhalten und zu erweitern.

Parallel zur Windows-orientierten Variante bewegen sich die Kampagnen auch in Linux. Dort haben die Gegner Binaries verwendet, die in Go als erste Phase geschrieben wurden, um eine RAT in Python - Ares RAT - durch Skripte, die von externen Servern heruntergeladen wurden. Ares bietet ähnliche Features: Datenerfassung, Fernausführung von Skripten und Befehlen und die Möglichkeit, die Operation entsprechend dem Kontext der angegriffenen Maschine anzupassen. In einem anderen dokumentierten Vektor wurde Deskrat (eine andere Malware entwickelt in Golang) durch bösartige PowerPoint-Ergänzungen verteilt, die Makros laufen, um die endgültige Probe aus dem Netzwerk zu erholen und zu starten.

Das Ergebnis ist ein Ökosystem von Werkzeugen und Ausbeutungsketten, die Beharrlichkeit, Rückverfolgbarkeit und multiplatform Abdeckung betonen. Berichte, die von mehreren Sicherheitslabors veröffentlicht wurden, zeigen, wie sich diese Familien und Techniken entwickelt haben: von der Wiederverwendung von kompromittierten Infrastrukturen bis hin zum Engagement für Speichergebühren und indirekte Hinrichtungen, die ihre Rückverfolgbarkeit erschweren. Um die Technik zu vertiefen und die Verpflichtungsindikatoren zu koordinieren, ist es angebracht, spezialisierte Quellen und öffentliche Wissensgrundlagen auf Taktiken und Verfahren zu überprüfen, wie sie im Rahmen von MITRE ATT & CK vorgesehen sind. auf Ihrem Portal.

Welche Lehren lässt dieses Muster für Organisationen und Sicherheitsbeamte? Erstens, dass die Oberfläche des Angriffs menschlich bleibt: Das Training, das darauf abzielt, glaubwürdige Köder zu erkennen und die Verifikation der Absender muss eine Priorität sein. Zweitens erfordern technische Verteidigungen eine Kombination von Maßnahmen: Filter und blockieren verdächtige Anhänge (insbesondere LNK, HTA und Makros in Dokumenten), begrenzen die Verwendung von System-Tools, die sich an indirekte Ausführung (wie mshta.exe), Bereitstellung von EDR / AV-Lösungen, die anormale Verhaltensweisen erkennen, und überwachen den ausgehenden Verkehr bei der Suche nach atypischen C2-Verbindungen. Relevante öffentliche Einrichtungen und Notfall-Responsorteams haben Anleitungen und Warnungen, um spezifische Minderungen durchzuführen; nützliche Ressourcen umfassen die Portale von Antwortteams und nationale und internationale Cybersicherheitsbehörden als CISA oder CERT-In aus Indien.

Es ist nicht nur ein technisches Problem: Wenn die Aktivität mit geostrategischen Interessen ausgerichtet ist, konzentriert sich die Bedrohung auf ganz bestimmte Sektoren und die Angreifer investieren in die Verbesserung von Schmierstoffen und die Aufrechterhaltung eines langfristigen Zugangs. Aus diesem Grund muss die Antwort auch strategisch und nachhaltig sein: Intelligenz zwischen Unternehmen teilen, schädliche Infrastrukturblöcke koordinieren und ständige Audits kritischer Systeme durchführen. Sammelberichte und Analysen - sowohl von privaten Unternehmen als auch von akademischen Laboren - ermöglichen es, den Gegner besser zu ordnen und seine nächste Bewegung zu antizipieren; in diesem Sinne wird die Analyse von spezialisierten Firmen und Labors für technische und Entscheidungsträger empfohlen.

Kurz gesagt, die Kampagnen, die Geta RAT, Ares RAT und DeskrAT ausgesetzt haben, erinnern sich daran, dass Cyberespionage eine lebendige und anpassungsfähige Bedrohung bleibt. Die Werkzeuge ändern sich und werden ausgereift sein, aber die Vorbeugungssignale sind auch nicht neu: Sensibilisierung, robuste technische Kontrollen, Netzwerksicht und öffentlich-private Zusammenarbeit sind die besten Hindernisse, um die Auswirkungen zu minimieren und das Leistungsfenster des Angreifers zu reduzieren. Für diejenigen, die technische Analysen und Warnhinweise konsultieren möchten, können sie mit den Publikationen von Unternehmen beginnen, die diese Vorfälle und die Ressourcen von Cybersicherheitsagenturen untersucht haben ( Aryaka, CYFIRMA, Seqrit Labs, SEKOEN und Referenz-Repositorien als MITRE ATT & CK)