CetaRAT Trojan gebruikt vertraagde activering om beveiliging te omzeilen

De CetaRAT is een Remote Access Trojan (RAT) waarvan de ontwikkeling en het gebruik wordt toegeschreven aan een onbekende Advanced Persistent Threat (APT)-groep. Het is echter mogelijk dat de criminelen erachter tools delen met andere groepen, aangezien de CetaRAT eerder betrokken was bij een campagne die werd uitgevoerd door de Operation SideCopy APT.

CetaRAT-infecties vinden meestal plaats via spearphishing-e-mails die een gevaarlijke bijlage bevatten. Natuurlijk is het bestand vermomd om eruit te zien als een ongevaarlijk document, factuur of archief dat het slachtoffer niet verdacht zal vinden. Als ze het schadelijke bestand openen, kunnen ze worden gevraagd om het bepaalde machtigingen te verlenen die zullen leiden tot de uitvoering van een macroscript en de levering van de CetaRAT-payload.

Politiek gerelateerde phishingberichten verspreiden de CetaRAT

De phishing-berichten die de CetaRAT leveren, zijn meestal gericht op politiek-gerelateerde onderwerpen in de regio van het slachtoffer, bijvoorbeeld de betrekkingen tussen India en China of documentatie van het ministerie van Buitenlandse Zaken. De manier waarop de CetaRAT op geïnfecteerde machines draait, is ook erg intrigerend. In plaats van de kwaadaardige module onmiddellijk te initialiseren, zal de dreiging zijn bestanden in de Opstartmap laten vallen en vervolgens een script starten om de machine opdracht te geven om na enige tijd opnieuw op te starten. Door deze vertraagde uitvoering kan de CetaRAT bepaalde beveiligingsfuncties vermijden.

De primaire focus van deze Remote Access Trojan is om gegevens van de computer van het slachtoffer te exfiltreren en deze naar de server van de aanvallers over te brengen. De criminelen kunnen ook een lange lijst met opdrachten op afstand uitvoeren:

• Download en voer een bestand uit.
• Beheer het bestandssysteem.
• Hernoem bestanden.
• Voer opdrachten op afstand uit.
• Grijp schermafbeeldingen.
• Beheer lopende processen.

Slachtoffers in de regio's die getroffen zijn door de CetaRAT-aanval kunnen hun veiligheid verbeteren door waakzaam te blijven voor verdachte e-mails die hen ertoe aanzetten een bijlage te bekijken. Daarnaast is het gebruik van een up-to-date antivirusoplossing de beste manier om malware-aanvallen af te schrikken.