Die MisterySnail RAT richtet sich an IT-Unternehmen und Verteidigungsunternehmen

Die MysterySnail RAT ist eine neue Malware, die auf Windows-Systeme abzielt. Es ist seit August 2021 aktiv und seine Betreiber nutzen Zero-Day-Schwachstellen in Microsoft Windows-Versionen aus. Die neueste Schwachstelle ist CVE-2021-40449, aber Kriminelle verlassen sich auch auf ältere Exploits, gegen die einige Systeme möglicherweise nicht geschützt sind – wie CVE-2016-3309.

Nach der Entdeckung der MysterySnail RAT konnten die Forscher die gleiche Nutzlast in älteren Angriffen identifizieren, die auf IT-Unternehmen, diplomatische Einrichtungen und Auftragnehmer aus dem Militär- und Verteidigungssektor abzielten. Angeblich könnte die jüngste Verwendung der MysterySnail RAT dem in China ansässigen Advanced Persistent Threat (APT)-Akteur namens Iron Husky zugeschrieben werden .

Die MisterySnail RAT verwendet zufällig generierten Code zur Verschleierung

Oft versuchen Malware-Entwickler, ihre Nutzlasten so gering wie möglich zu halten. Dies verringert die Aufmerksamkeit, die sie auf sich ziehen, und könnte es ihnen auch ermöglichen, unter dem Radar bestimmter Sicherheitstools zu fliegen. Die MysterySnail RAT ist in Bezug auf die Größe ziemlich klobig – ihre ausführbare Datei ist über 8 MB groß. Die Angreifer nutzen den zusätzlichen Speicherplatz jedoch, um einen zufällig generierten Code zu speichern, der darauf abzielt, die wahre, bedrohliche Natur der ausführbaren Dateien zu verschleiern. Dies könnte der Grund sein, warum MysterySnail RAT gerade jetzt identifiziert und richtig seziert wurde.

Wenn die MysterySnail RAT einen Computer infiziert, sammelt sie Informationen und sendet sie an den Server des Angreifers. Zu diesen Daten gehören der Name und der Benutzername des Computers, die genaue Windows-Version, die das System verwendet, und seine lokale IP-Adresse. Die Kriminellen können Fernbefehle senden, um das Implantat zu bedienen, und es anweisen, die von ihm unterstützten Aufgaben auszuführen:

• Starten und Schließen von Prozessen.
• Rufen Sie Festplattendaten, Partitionen, Ordner und Dateiinformationen ab.
• Dateien hochladen und ausführen.
• Ändern Sie das Dateisystem.
• Legen Sie das Implantat für eine bestimmte Zeit schlafen.
• Öffnen Sie eine Proxy-Verbindung.

Die Entdeckung der MysterySnail RAT und ihrer Infrastruktur hat Malware-Forschern geholfen, mehr über die aktuellen Operationen von Iron Husky zu erfahren.