SwaetRAT Malware: Et dybere kig på dens muligheder og mål

En vildledende trussel med fjernadgangsfunktioner

SwaetRAT er en sofistikeret Remote Access Trojan (RAT), der bruger avancerede unddragelsesteknikker for at undgå detektion, samtidig med at den opretholder persistens på kompromitterede systemer. Denne .Net-baserede malware er i stand til at udføre kommandoer eksternt, hvilket gør det muligt for angribere at manipulere inficerede enheder til forskellige ondsindede formål. Ved at udnytte native Windows-biblioteker og refleksionsmekanismer interagerer det med operativsystemet på et lavt niveau, hvilket gør det i stand til at udføre nyttelaster og styre systemprocesser uden at vække umiddelbar mistanke.

Hvordan SwaetRAT får fodfæste i systemer

For at etablere sig i et system udnytter malwaren sig af interaktioner på API-niveau. Den anvender live patching-teknikker til at omgå sikkerhedsforsvar og ændre funktioner, der typisk registrerer eller logger mistænkelig aktivitet. En sådan modifikation involverer patching af AmsiScanBuffer(), som forhindrer sikkerhedssoftware i at analysere ondsindede scripts. Derudover ændrer malwaren EtwEventWrite(), en funktion, der er ansvarlig for at generere hændelseslogfiler, der sikrer, at dens aktiviteter forbliver uopdaget af logningsmekanismer.

SwaetRAT styrker sin position yderligere ved at manipulere med ntdll.dll-biblioteket og ændre nøglefunktioner for at returnere forudbestemte værdier. Denne tilgang varierer baseret på systemets arkitektur, uanset om det er 32-bit eller 64-bit, hvilket viser dets tilpasningsevne. Når disse ændringer er på plads, fortsætter malwaren med at afkode og udføre en Base64-kodet nyttelast, der i sidste ende indlæser en samling til yderligere operationer.

Et nærmere kig på dens nyttelast og udførelse

Den afkodede nyttelast er struktureret som en Portable Executable (PE) fil, et standardformat for Windows-eksekverbare filer og DLL'er (Dynamic Link Library). Ved at oprette en forekomst af dens entry-point klasse og påberåbe dens metoder, sikrer SwaetRAT, at dens ondsindede funktioner udføres korrekt. En af dens vigtigste unddragelsestaktikker inkluderer at kopiere sig selv til %LOCALAPPDATA%\Microsoft\_OneDrive.exe-stien. Denne adfærd er designet til at omgå sandkassemiljøer, der ofte analyserer filer fra faste mapper.

For at opretholde persistens ændrer SwaetRAT systemets registreringsdatabase og opretter genveje til opstart. Den skriver sin eksekverbare sti til en registreringsnøgle under brugerens Software-hive, og sikrer, at den ondsindede proces kører, hver gang systemet starter op. En tilsvarende genvej i Startup-mappen henter denne sti ved at udføre en PowerShell-kommando for at genstarte malwaren, der effektivt integrerer sig selv i systemets opstartsprocesser.

Kommunikation og kommandoudførelse

Når den er operationel, etablerer malwaren en forbindelse med en kommando-og-kontrol-server (C2), hvilket giver fjernangribere mulighed for at udstede instruktioner. Den afkodede nyttelast interagerer med en webklient og konverterer en hex-kodet streng til en byte-array, før den udføres aspnet_compiler.exe med disse afkodede bytes som argumenter. Dette udførelsesflow antyder et forsøg på at køre yderligere ondsindet kode under dække af legitime systemprocesser.

Identificerede varianter og tidligere observationer

SwaetRAT er blevet knyttet til kampagner analyseret i 2023. Malwareprøven, der blev undersøgt i det tilfælde, beholdt de samme RAT-funktioner og var forbundet med en C2-server placeret på 144.126.149.221:7777. Et bemærkelsesværdigt kendetegn ved denne prøve var dens replikering til mappen % APPDATA%CCleaner.exe, hvilket indikerer dens forsøg på at udgive sig som et velkendt softwareværktøj. Interessant nok gjorde manglen på sløring i denne variant det lettere for analytikere at udtrække dens fjernadgangsfunktioner og kommunikationsmønstre.

Implikationerne af SwaetRATs aktiviteter

Tilstedeværelsen af SwaetRAT på en enhed kan føre til betydelige sikkerhedsproblemer. På grund af dets fjernadgangsfunktioner kunne angribere udføre vilkårlige kommandoer, manipulere filer eller implementere yderligere ondsindede nyttelaster. Ydermere betyder dets evne til at undgå registrering og opretholde persistens, at kompromitterede systemer kan forblive under angriberkontrol i længere perioder, uden at brugere bemærker nogen mistænkelig aktivitet.

At forstå taktikken, der bruges af trusler som SwaetRAT, er afgørende for alle i implementeringen af effektive forsvar. Regelmæssige sikkerhedsopdateringer, overvågning for usædvanlige systemændringer og anvendelse af robuste endpoint-beskyttelsesforanstaltninger kan hjælpe med at mindske de risici, som sådanne trusler udgør. Ved at forblive informeret og på vagt, kan brugere bedre beskytte deres digitale miljøer mod snigende indtrængen som SwaetRAT.