PY#RATION RAT utiliza un enfoque único C2

Los investigadores de seguridad identificaron un nuevo ataque cibernético utilizando un troyano de acceso remoto (RAT) basado en Python en agosto de 2022. Según Securonix, el malware, denominado PY#RATION, es único con el uso de WebSockets para la comunicación de comando y control. y exfiltración de datos.

Los correos electrónicos de phishing utilizados para este ataque contienen archivos ZIP que contienen dos archivos .LNK disfrazados como imágenes de licencias de conducir del Reino Unido. Cuando se abre cada uno de los enlaces, se descargan dos archivos de texto de un servidor remoto y se renombran como archivos .BAT mientras se ejecutan en segundo plano y se muestra una imagen falsa.

Además, se recupera otra secuencia de comandos por lotes de un servidor C2 para descargar cargas útiles adicionales, como CortanaAssistance.exe, que se utiliza para intentar disfrazar el malware como un archivo del sistema. Se han identificado dos versiones de este troyano (1.0 y 1.6) con casi 1000 líneas de código añadidas en la versión más reciente para admitir funciones de escaneo de red y cifrado mediante el módulo Fernet. Las capacidades incluyen la transferencia de archivos, el registro de pulsaciones de teclas, la ejecución de comandos del sistema, la extracción de contraseñas/cookies de navegadores web, la captura de datos del portapapeles y la verificación de la presencia de software antivirus.

Esto también sirve como una vía para implementar malware adicional, como un ladrón de información diseñado para adquirir información de navegadores web y billeteras de criptomonedas. Aunque se desconoce el origen del actor de amenazas, se cree que los objetivos previstos pueden estar ubicados en el Reino Unido o América del Norte a juzgar por los señuelos de phishing.

¿Qué son las puertas traseras que utiliza el malware como PY#RATION para comprometer un sistema?

Las puertas traseras son programas maliciosos que permiten a los atacantes obtener acceso a un sistema sin el conocimiento o permiso del usuario. El malware como PY#RATION generalmente usa puertas traseras para comprometer un sistema al explotar vulnerabilidades en el sistema operativo, las aplicaciones o los protocolos de red.

Las técnicas comunes de puerta trasera incluyen el uso de herramientas de acceso remoto como el Protocolo de escritorio remoto (RDP), la creación de cuentas ocultas con privilegios administrativos y el uso de scripts maliciosos para ejecutar comandos en la máquina de destino. Las puertas traseras también se pueden usar para eludir los mecanismos de autenticación y obtener acceso a datos confidenciales. Además, las puertas traseras se pueden usar para instalar malware adicional en el sistema comprometido, lo que permite a los atacantes expandir aún más su control sobre la máquina de la víctima.

¿Por qué los troyanos de acceso remoto como PY#RATION son un problema de seguridad importante para cualquier víctima?

Los troyanos de acceso remoto como PY#RATION son un problema de seguridad importante para cualquier víctima porque permiten que los atacantes obtengan acceso a un sistema sin el conocimiento o permiso del usuario. Este tipo de malware puede explotar vulnerabilidades en el sistema operativo, las aplicaciones o los protocolos de red para eludir los mecanismos de autenticación y obtener acceso a datos confidenciales.

Además, las puertas traseras se pueden usar para instalar malware adicional en el sistema comprometido, lo que permite a los atacantes expandir aún más su control sobre la máquina de la víctima. Esto significa que un atacante podría potencialmente tener control total sobre la computadora de la víctima, incluido el acceso a información personal como contraseñas y datos financieros. Además, los troyanos de acceso remoto se pueden utilizar para lanzar ataques de denegación de servicio distribuido (DDoS) contra otros sistemas o redes, haciéndolos aún más peligrosos.

Como tal, es importante que los usuarios tomen medidas para protegerse de este tipo de amenazas utilizando contraseñas seguras y manteniendo sus sistemas actualizados con los parches de seguridad más recientes.