Контакты
Подписка 2024
Персональные данные
4 апреля. Персональные данные в 2024 году: регулирование, практика, тенденции
Представляйте решения на онлайн-конференции!

Новый скрытый троян атакует Windows

26/01/23

hack62-Jan-26-2023-11-15-00-4072-AM

Исследователи компании Securonix обнаружили RAT-троян на основе Python, который дает его операторам полный контроль над взломанными системами.

Эксперты назвали троян PY#RATION. Он использует протокол WebSocket для связи с сервером управления и контроля (C2) и для извлечения данных с хоста-жертвы. Вредоносное ПО PY#RATION распространяется посредством фишинговой кампании, в которой используются защищенные паролем ZIP-архивы, содержащие два LNK-ярлыка, которые замаскированы под изображения «front.jpg.lnk» и «back.jpg.lnk».

При запуске ярлыков жертва видит фотографии водительского удостоверения. В это время выполняется вредоносный код для связи с C2 и загрузки двух TXT-файлов «front.txt» и «back.txt», которые затем переименовываются в BAT-файлы для выполнения вредоносного ПО.

При запуске вредоносное ПО создает каталоги «Cortana» и «Cortana/Setup» во временном каталоге пользователя, а затем загружает, распаковывает и запускает дополнительные исполняемые файлы из этого расположения. Постоянство устанавливается путем добавления пакетного файла «CortanaAssist.bat» в каталог запуска пользователя. Использование Cortana направлено на то, чтобы замаскировать записи вредоносного ПО под системные файлы.

PY#RATION представляет собой RAT-троян на основе Python, упакованный в исполняемый файл с использованием автоматических упаковщиков, таких как «pyinstaller» и «py2exe», которые могут конвертировать код Python в исполняемые файлы Windows, которые включают все библиотеки, необходимые для его выполнения.

Этот подход приводит к увеличению размера полезной нагрузки, что помогает вредоносному ПО избежать обнаружения, поясняют в Securitylab.

Среди функций версии PY#RATION RAT следующие:

  • перечисление сети;
  • передача файлов из взломанной системы на C2 или наоборот;
  • кейлоггинг;
  • выполнение команд оболочки;
  • перечисление хостов;
  • извлечение паролей и cookie-файлов из браузеров;
  • кража данных из буфера обмена;
  • Обнаружение антивирусных инструментов на устройстве.

Использование протокола WebSocket позволяет трояну взаимодействовать с C2 по одному TCP-соединению, используя порты, обычно оставляемые открытыми (80 и 443). На данный момент подробности о конкретных кампаниях с использованием этого вредоносного ПО и его целях, объеме распространения и операторах, стоящих за ним, остаются неясными.

Темы:PythonWindowsУгрозытрояныRAT
NGFW
9 апреля. Отечественные NGFW: как защитить облачную инфраструктуру и настроить обнаружение кибератак
Участвуйте и представляйте решения!
Статьи по темеСтатьи по теме

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
3 апреля. Отечественные ИT-платформы и ПО для объектов КИИ
Участвуйте!

Еще темы...

More...