AsyncRAT ეკოსისტემის ევოლუცია: სერტიფიკატებისა და ინფრასტრუქტურის ანალიზი

AsyncRAT პირველად გამოქვეყნდა GitHub პლატფორმაზე 2019 წლის იანვარში NYAN-x-CAT ავტორობაში, როგორც Quasar RAT-ის ძველი პროექტის მასშტაბური გადამუშავება. ამ ძირეული ვერსიიდან შეიქმნა მრავალი განშტოება. ყველაზე მასიური მემკვიდრე გახდა DCRAT (DarkCrystal RAT), რომელიც თავის მხრივ VenomRAT-ის საფუძველად იქცა. ეს კასკადური პროცესის შექმნა ახალ ვერსიებს გამოიმუშავებს ათეულობით სპეციფიკურ ტროიანებს, როგორც LMTeamRAT, EchoRAT, BitRAT და Alfa Red Fox. კოდის ასეთი მრავლარვრივი განშტოება უსაფრთხოების გუნდებისთვის სირთულეებს ქმნის, რომლებიც უნდა შეინარჩუნონ გამოვლენების ბაზები ახალი მოდიფიკაციების მიმართ, ნაცვლად მიზეზების აღმოფხვრის.

მთლიანი ეკოსისტემის კომპლექსობის მიუხედავად, არქიტექტორული ერთგვაროვნება გახდა კიბერდამნაშავეების მოწყვლადი ადგილი. ანალიზმა დაადასტურა, რომ ტროიანის თითოეული ახალი ვარიანტი ძირითადად წინამორბედის TLS-სერთიფიკატის სტრუქტურას შეჰყვება მნიშვნელოვნად არ ცვლილებების გარეშე. ცენტრალური მაჩვენებელი ამ ოჯახის გამოვლენისთვის გახდა ხარისხ “O=<Name> By <author>, L=SH, C=CN”, რომელიც დაიწყო DCRAT-მა. ამ კომბინაციის გამოყენება უნდა შეინიშნოს არა სტანდარტულ პორტებზე C2-ის ცოცხალი გარემოების იდენტიფიცირებისთვის, მაშინაც კი როდესაც კონკრეტულ მავნე პროგრამას არ აქვს საკუთარი ბრანდირება. სპეციალისტები აღნიშნავენ, რომ სერთიფიკატების მეტადატები რჩებიან ყველაზე სანდო ზედაპირად გამოსავლენად, რადგან ავტორების ან მშობლიური პროგრამების სახელწოდებები უცვლელია.

ეკოსისტემის განლაგების მასშტაბი რჩება უკიდურესად არათანაბრ თანაფარდობებში კონკრეტული ვარიანტის მიხედვით. ყოველი შემოწმების შედეგებით, AsyncRAT-ის ძირეული ვერსია ინარჩუნებს ყველაზე დიდ თანაფარდობას, დაახლოებით 49 დადასტურებული ჰოსტით. მისი მემკვიდრე DCRAT ფუნქციონირებს ბევრით 36 კონტროლირების სერვერზე, ხოლო Gh0stRAT (DCRAT-ის საფუძველზე შექმნილი) იყენებს 20-ზე მეტ ჰოსტს. კვლევამ ასევე გამოავლინა, რომ სერთიფიკატების ველებში ხშირად გამოსაჩნდებიან კონკრეტული ავტორების ფსევდონიმები, როგორიცაა “qwqdanchun” ან “alexeikun”, რაც ოპტიმიზირებს მასშტაბური კამპანიების თვალის დევნებას.

განსაკუთრებულ კატეგორიას წარმოადგენს ვიწროჟგუფური ვარიანტები, რომლებიც ხშირად იწყებენ მხოლოდ ერთაქტიურ ჰოსტზე ან არ აქვთ ცოცხალი ინფრასტრუქტურის დადასტურება შემოწმების მომენტში. ამ მაგალითადაა LMTeamRAT, ElegyRAT, CyberSpike და JasonRAT. ამ ერთეული ტროიანების მნიშვნელობა მდგომარეობს მათ მეტადატებში, რომელიც შეიდან ცალკეული აღმოჩნდნენ იდენტიფიკატორების კომბინაციები, რომელიც არ შეუძლიათ თაღლითებს. მაგალითად, LMTeamRAT-ის სერთიფიკატი გირკვამოქნის როგორც მშობლიურ იქ VenomRAT-ის ბირკვევას, თანაბრად ვლენურ პროვაიდერს. ამ ნაკლებად აქტიური კვანძების მონიტორინგი უკიდურესად მნიშვნელოვანია, რადგან მათ რომ შევნიშნოთ გამოსავლენის ემბრიებთააი მომავალი მიზნობრივი შეტევების.

წინააღმდეგობის გამოყენება სახელებით ამჩნევის თვალში განსაკუთრებულ ფიქტიურ საკითხებს. საშიში სახელების ტიპაჟისთვის ყურბლენური მოთხოვნებია, რაც იწვევს მინიმალურ ფიქტიურ მიხედვით. მაშინაც ძირითადი სახელების საფუძველზე ვეძებთ კრიტიკული კონფლიქტებში ლეგიტიმურ ორგანიზაციებთან. მაგალითად, PhoenixRAT-ის თვისითი მოთხოვნებით ვჭრებათ სადგურების აღმობალიან Phoenix Contact GmbH-ის კომპანიაში, ხოლო NSO Group-ის პროდუქტების ინფორმაციასთან ცნობ დეპრაჩადებისთვის ფრენების გადავლებაში. აუსხენურად, აღმოჩნდებათ საჭირო გადამოწყვეტილ სერთიფიკატების ნიმუში ან მართვის თვითმმართველობა, არა მხოლოდ სახელის თანახხადებით.

AsyncRAT ეკოსისტემის ევოლუცია ავლენს საჭიროებებს სიგნატურებზე ფაილების კლასიკური ბლოკირებების გადადის ინფრასტრუქტურული პატერნების თვალთახედვებში. ბოროტმოქმედები გააგრძელებენ კოდების განშტოებების შექმნას, მაგრამ მათი შერედინებულია TLS სერთიფიკატების მოთესებით კვლავ სწორედ თავდამსხმების ძლიერი ინსტრუქცია რჩება დაცვით წვეთორებთან. მონაცემთა მასალების ანალიზი შეუძლია მნიშვნელოვნად გაზარდოს C2 გარემოების აღმოჩენის ეფექტურობა.

iIT Distribution არის ინფორმაციული უსაფრთხოების გადაწყვეტების და IT ინფრასტრუქტურის დისტრიბუტორი. iITD-ის ექსპერტთა გუნდი იძლევა ყოვეწამეკუთვნეულ მხარდაჭერას კონსალტინგის, პროექტირების, განლაგების და მოწინავე Threat Intelligence სისტემების მართვაში. iIT Distribution-ის თანამშრომლობა უზრუნველყოფს განათლებულ მხარდაჭერას ყველა პარტნიორობა პროცესზე, ეხმარება გუნდებს მკვლევარი საფრთხეების გარემოს ადაპტირებაში.