NetSupport RAT įdiegtas prieš kelis taikinius
Švietimo, vyriausybės ir verslo paslaugų sektoriams šiuo metu gresia piktybiniai veikėjai, naudojantys nuotolinės prieigos Trojos arklį, pavadintą NetSupport RAT. Remiantis „VMware Carbon Black“ tyrėjų ataskaita, pasidalinta su „The Hacker News“, šio Trojos arklys pristatymo metodai apima apgaulingą atnaujinimą, greitą atsisiuntimą, kenkėjiškų programų, tokių kaip GHOSTPULSE, naudojimą ir įvairias sukčiavimo kampanijas.
„NetSupport RAT“ surinko daugiau nei tuziną hitų
Per pastarąsias kelias savaites kibernetinio saugumo įmonė nustatė mažiausiai 15 naujų infekcijų, susijusių su NetSupport RAT. Iš pradžių sukurta kaip teisėtas nuotolinio administravimo įrankis, NetSupport Manager buvo išnaudotas kenkėjiškų subjektų, paversdamas jį vėlesnių atakų vartais. Trojos arklys dažniausiai patenka į aukos kompiuterį per apgaulingas svetaines ir suklastotus naršyklės naujinius.
Sucuri pabrėžė 2022 m. rugpjūčio mėn. kampaniją, apimančią pažeistas „WordPress“ svetaines, kuriose buvo rodomi netikri „Cloudflare“ DDoS apsaugos puslapiai, o tai galiausiai paskatino „NetSupport RAT“ platinimą.
Apgaulingų žiniatinklio naršyklės atnaujinimų panaudojimo strategija atitinka „SocGholish“ – „JavaScript“ pagrindu veikiančios kenkėjiškos programos parsisiuntimo programą. Pastebėta, kad ši kenkėjiška programa skleidžia įkroviklio kenkėjišką programą pavadinimu BLISTER.
„JavaScript“ naudingoji apkrova suaktyvina „PowerShell“, kad užmegztų ryšį su nuotoliniu serveriu ir nuskaitytų ZIP archyvo failą, kuriame yra „NetSupport RAT“. Įdiegus Trojos arklys susisiekia su komandų ir valdymo (C2) serveriu. Pasak mokslininkų, aukos įrenginyje esant NetSupport RAT, kenkėjiški veikėjai įgyja galimybę stebėti veiklą, perkelti failus, keisti kompiuterio konfigūracijas ir plisti į kitus tinklo įrenginius.
