Фишинговые атаки FatalRAT: постоянная киберугроза в регионе Азиатско-Тихоокеанского региона

Развивающаяся фишинговая кампания, нацеленная на промышленные секторы

Была выявлена еще одна волна фишинговых кампаний, нацеленных на организации по всему Азиатско-Тихоокеанскому региону. Эти атаки связаны с распространением FatalRAT , трояна удаленного доступа (RAT), который предоставляет несанкционированный контроль над скомпрометированными системами. В число пострадавших секторов входят государственные учреждения и такие отрасли, как производство, строительство, телекоммуникации, здравоохранение, энергетика и логистика.

Противники, стоящие за этой кампанией, развернули сложную структуру доставки, разработанную для избежания обнаружения. Используя широко известные китайские облачные сервисы, такие как MyQcloud и Youdao Cloud Notes, злоумышленники создали инфраструктуру, которая маскирует их действия под легитимный сетевой трафик.

Цель атак FatalRAT

Основная цель этих фишинговых кампаний — проникнуть в целевые организации и установить постоянный удаленный доступ. Это позволяет злоумышленникам собирать конфиденциальные данные, манипулировать системными операциями и развертывать дополнительные вредоносные инструменты. Использование FatalRAT позволяет осуществлять обширный контроль над зараженными машинами, включая возможность регистрации нажатий клавиш, вмешательства в системные файлы, мониторинга действий пользователей и нарушения мер безопасности.

Одним из примечательных аспектов этой кампании является ее фокусировка на людях, общающихся на китайском языке. Фишинговые письма содержат вложения с именами файлов на китайском языке, что увеличивает вероятность того, что получатели откроют их без подозрений. Прошлые инциденты также связывали FatalRAT с мошенническими объявлениями Google, что еще раз демонстрирует его разнообразные тактики распространения.

Техническая разбивка цепочки атак

Атака обычно начинается с электронного письма, содержащего сжатый файл. После открытия файл инициирует загрузчик первой стадии, который обращается к платформе Youdao Cloud Notes для извлечения вторичной полезной нагрузки. Эта полезная нагрузка состоит из файла библиотеки динамических ссылок (DLL) и модуля конфигурации. Последний загружает дополнительные компоненты атаки, одновременно отображая безвредный файл-приманку для уменьшения подозрений.

DLL служит загрузчиком второго этапа, ответственным за установку FatalRAT в системе жертвы. Вредоносное ПО извлекается с удаленного сервера, размещенного на MyQcloud, и для дальнейшего сокрытия его присутствия цепочка атак использует методы боковой загрузки DLL. Этот метод позволяет FatalRAT работать в легитимных программных процессах, что затрудняет его обнаружение системами безопасности. Кроме того, пользователю отображается обманчивое сообщение об ошибке, из-за чего создается впечатление, что приложение не запустилось должным образом.

Последствия возможностей FatalRAT

После активации FatalRAT проводит обширную проверку безопасности, чтобы определить, запущен ли он в контролируемой или контролируемой среде, например, в песочнице или виртуальной машине. Если обнаружены какие-либо аномалии, вредоносная программа прекращает выполнение, чтобы избежать раскрытия.

Если вредоносная программа считает среду безопасной, она выполняет ряд действий. FatalRAT может собирать системную информацию, завершать определенные фоновые процессы и искать установленные средства безопасности. Кроме того, она способна изменять данные браузера, выполнять команды удаленно и даже вмешиваться в основные системные функции, такие как Master Boot Record (MBR), которая необходима для процесса запуска системы.

Еще одной тревожной особенностью FatalRAT является его способность загружать и устанавливать сторонние инструменты удаленного администрирования, такие как AnyDesk и UltraViewer. Благодаря этому злоумышленники получают еще один уровень контроля, что позволяет им вручную выполнять действия на скомпрометированной системе. Потенциал распространения по сетям еще больше увеличивает риск масштабного сбоя.

Атрибуция и возможные субъекты угрозы

Организация, ответственная за эти кампании, пока не определена окончательно. Однако многочисленные признаки указывают на то, что в них может быть замешана китайскоязычная группа угроз. Есть сходство между этой кампанией и предыдущими атаками, связанными с Silver Fox APT, передовой постоянной группой угроз, известной тем, что она нацеливается на китайскоязычных людей и организации в Японии.

Повторное использование китайских облачных сервисов, интерфейсов на китайском языке и других операционных схем усиливает вероятность того, что злоумышленники знакомы с Китаем или базируются в нем. Хотя остается неясным, несет ли ответственность одна группа или несколько участников осуществляют отдельные, но связанные атаки, постоянное появление кампаний FatalRAT указывает на то, что эти операции хорошо скоординированы.

Итог

Стратегическое использование надежных облачных сервисов и многоступенчатых методов доставки делает FatalRAT сложной угрозой для смягчения. Организации, работающие в целевых секторах, должны сохранять бдительность в отношении попыток фишинга и внедрять строгие протоколы кибербезопасности для предотвращения несанкционированного доступа.

Хотя точные мотивы кампании остаются неясными, способность FatalRAT красть, удалять и манипулировать конфиденциальными данными подчеркивает необходимость повышения осведомленности о безопасности и упреждающих стратегий защиты от угроз. Учитывая меняющуюся природу этих фишинговых атак, постоянные исследования и мониторинг имеют важное значение для ограничения их воздействия как на предприятия, так и на государственные учреждения.