PY#RATION RAT utilise une approche C2 unique

Les chercheurs en sécurité ont identifié une nouvelle cyberattaque utilisant un cheval de Troie d'accès à distance (RAT) basé sur Python en août 2022. Selon Securonix, le malware, appelé PY#RATION, est unique avec son utilisation de WebSockets pour la communication de commande et de contrôle. et l'exfiltration de données.

Les e-mails de phishing utilisés pour cette attaque contiennent des archives ZIP contenant deux fichiers .LNK déguisés en images de permis de conduire britanniques. Lorsque chacun des liens est ouvert, deux fichiers texte sont téléchargés à partir d'un serveur distant et renommés en fichiers .BAT lors de l'exécution en arrière-plan tout en affichant une fausse image.

De plus, un autre script batch est récupéré à partir d'un serveur C2 pour télécharger des charges utiles supplémentaires telles que CortanaAssistance.exe qui est utilisé pour tenter de déguiser le logiciel malveillant en un fichier système. Deux versions de ce cheval de Troie ont été identifiées (1.0 et 1.6) avec près de 1000 lignes de code ajoutées dans la nouvelle version pour prendre en charge les fonctions d'analyse du réseau et le chiffrement à l'aide du module Fernet. Les fonctionnalités incluent le transfert de fichiers, l'enregistrement de frappes, l'exécution de commandes système, l'extraction de mots de passe/cookies à partir de navigateurs Web, la capture de données de presse-papiers et la vérification de la présence d'un logiciel antivirus.

Cela sert également de voie pour déployer des logiciels malveillants supplémentaires tels qu'un voleur d'informations conçu pour acquérir des informations à partir de navigateurs Web et de portefeuilles de crypto-monnaie. Bien que l'origine de l'auteur de la menace reste inconnue, on pense que les cibles visées peuvent être situées au Royaume-Uni ou en Amérique du Nord à en juger par les leurres de phishing.

Quelles sont les portes dérobées que les logiciels malveillants comme PY#RATION utilisent pour compromettre un système ?

Les portes dérobées sont des programmes malveillants qui permettent aux attaquants d'accéder à un système à l'insu ou sans l'autorisation de l'utilisateur. Les logiciels malveillants tels que PY#RATION utilisent généralement des portes dérobées pour compromettre un système en exploitant les vulnérabilités du système d'exploitation, des applications ou des protocoles réseau.

Les techniques courantes de porte dérobée incluent l'utilisation d'outils d'accès à distance tels que le protocole RDP (Remote Desktop Protocol), la création de comptes cachés avec des privilèges d'administration et l'utilisation de scripts malveillants pour exécuter des commandes sur la machine cible. Les portes dérobées peuvent également être utilisées pour contourner les mécanismes d'authentification et accéder à des données sensibles. De plus, les portes dérobées peuvent être utilisées pour installer des logiciels malveillants supplémentaires sur le système compromis, permettant aux attaquants d'étendre davantage leur contrôle sur la machine de la victime.

Pourquoi les chevaux de Troie d'accès à distance comme PY#RATION sont-ils un problème de sécurité majeur pour toute victime ?

Les chevaux de Troie d'accès à distance tels que PY#RATION constituent un problème de sécurité majeur pour toute victime, car ils permettent aux attaquants d'accéder à un système à l'insu ou sans l'autorisation de l'utilisateur. Ce type de logiciel malveillant peut exploiter les vulnérabilités du système d'exploitation, des applications ou des protocoles réseau pour contourner les mécanismes d'authentification et accéder à des données sensibles.

De plus, les portes dérobées peuvent être utilisées pour installer des logiciels malveillants supplémentaires sur le système compromis, permettant aux attaquants d'étendre davantage leur contrôle sur la machine de la victime. Cela signifie qu'un attaquant pourrait potentiellement avoir un contrôle total sur l'ordinateur d'une victime, y compris l'accès à des informations personnelles telles que des mots de passe et des données financières. De plus, les chevaux de Troie d'accès à distance peuvent être utilisés pour lancer des attaques par déni de service distribué (DDoS) contre d'autres systèmes ou réseaux, ce qui les rend encore plus dangereux.

En tant que tel, il est important que les utilisateurs prennent des mesures pour se protéger contre ces types de menaces en utilisant des mots de passe forts et en gardant leurs systèmes à jour avec les derniers correctifs de sécurité.