HiatusRAT zielt auf Router-Firmware ab
Forscher von Lumen Black Lotus Labs entdeckten eine neue Malware-Kampagne, die sie „Hiatus“ getauft haben. Diese Kampagne richtet sich an Business-Router, hauptsächlich die DrayTek Vigor-Modelle 2960 und 3900, die VPN-Verbindungen für Remote-Mitarbeiter unterstützen können und ideal für mittelständische Unternehmen sind. Nach der Infektion setzt die Malware zwei bösartige Binärdateien ein – einen Remote-Access-Trojaner (RAT), der als HiatusRAT bekannt ist.
Die HiatusRAT ermöglicht es den Angreifern, aus der Ferne mit dem infizierten System zu interagieren und es in einen verdeckten Proxy umzuwandeln. Die Binärdatei, die sich auf die Paketerfassung konzentriert, ermöglicht es dem Akteur, den Router-Verkehr an den Ports zu überwachen, die mit der E-Mail- und Dateiübertragungskommunikation verbunden sind. Die Bedrohungsakteure hinter der Kampagne haben es in erster Linie auf End-of-Life-Router mit i386-Architektur abgesehen, aber auch vorgefertigte Binärdateien, die auf MIPS-, i386- und ARM-basierte Chips abzielen, wurden aufgedeckt.
Lumen Black Lotus Labs® hat mindestens 100 infizierte Opfer identifiziert, hauptsächlich in Europa und Lateinamerika, unter Verwendung von proprietärer Telemetrie vom globalen IP-Backbone von Lumen. Die neueste Version der Malware wurde Mitte 2022 aktiv. Die Kampagne soll auf die Datensammlung und den Aufbau eines verdeckten Proxy-Netzwerks abzielen.
Die Hiatus-Kampagne besteht aus drei Komponenten: einem Bash-Skript, HiatusRAT, und einer Variante von tcpdump, die die Paketerfassung ermöglicht. HiatusRAT dient zwei Zwecken – der Ferninteraktion mit dem infizierten Gerät und der Funktion als SOCKS5-Proxy-Gerät auf dem Router. Dies ermöglicht es dem Akteur, C&C-Verkehr durch den Router zu leiten, um Befehl und Kontrolle von einem zusätzlichen Agenten an anderer Stelle zu verschleiern.
Was ist ein RAS-Trojaner?
Ein Remote-Access-Trojaner (RAT) ist eine Art bösartiger Software, die unbefugten Zugriff auf den Computer oder das Netzwerk eines Opfers ermöglicht. RATs werden normalerweise über Phishing-E-Mails, Social-Engineering-Taktiken oder Software-Exploits verbreitet. Nach der Installation erhält der Angreifer die Fernsteuerung über das kompromittierte Gerät und kann verschiedene Aktionen ausführen, z. B. vertrauliche Daten stehlen, Dateien ändern oder zusätzliche Malware installieren. RATs können auch verwendet werden, um die Aktivitäten des Opfers auszuspionieren, Tastenanschläge aufzuzeichnen, Screenshots zu machen und die Kamera und das Mikrofon des Opfers einzuschalten. RATs gelten als ernsthafte Bedrohung der Privatsphäre und Sicherheit, und Benutzer sollten Maßnahmen ergreifen, um ihre Installation zu verhindern, z. B. indem sie ihre Antivirensoftware auf dem neuesten Stand halten und verdächtige E-Mail-Anhänge oder Downloads vermeiden.
