De MisterySnail RAT richt zich op IT-bedrijven en defensie-aannemers
De MysterySnail RAT is een nieuw stukje malware gericht op Windows-systemen. Het is actief sinds augustus 2021 en de operators maken misbruik van zero-day-kwetsbaarheden in Microsoft Windows-versies. De nieuwste kwetsbaarheid is CVE-2021-40449, maar criminelen vertrouwen ook op oudere exploits waartegen sommige systemen mogelijk niet zijn beschermd, zoals CVE-2016-3309.
Na de ontdekking van de MysterySnail RAT konden onderzoekers dezelfde lading identificeren bij oudere aanvallen die gericht waren op IT-bedrijven, diplomatieke entiteiten en aannemers die betrokken zijn bij de militaire en defensiesectoren. Naar verluidt zou het recente gebruik van de MysterySnail RAT kunnen worden toegeschreven aan de in China gevestigde Advanced Persistent Threat (APT)-acteur die bekend staat als Iron Husky .
De MisterySnail RAT gebruikt willekeurig gegenereerde code voor verduistering
Vaak proberen malware-ontwikkelaars hun payloads zo licht mogelijk te maken. Dit vermindert de aandacht die ze trekken en kan hen ook in staat stellen om onder de radar van specifieke beveiligingstools te vliegen. De MysterySnail RAT is behoorlijk groot qua grootte - het uitvoerbare bestand is meer dan 8 MB. De aanvallers gebruiken de extra opslagruimte echter om een willekeurig gegenereerde code op te slaan, die tot doel heeft de ware, bedreigende aard van de uitvoerbare bestanden te verdoezelen. Dit zou de reden kunnen zijn waarom MysterySnail RAT zojuist is geïdentificeerd en op de juiste manier is ontleed.
Wanneer de MysterySnail RAT een machine infecteert, verzamelt deze informatie en stuurt deze naar de server van de aanvaller. Deze gegevens omvatten de naam en gebruikersnaam van de computer, de exacte Windows-versie die het systeem gebruikt en het lokale IP-adres. De criminelen kunnen op afstand commando's sturen om het implantaat te bedienen en het te vertellen de taken uit te voeren die het ondersteunt:
- Opstarten en afsluiten van processen.
- Krijg gegevens over de harde schijf, partities, mappen en bestandsinformatie.
- Bestanden uploaden en uitvoeren.
- Wijzig het bestandssysteem.
- Zet het implantaat een bepaalde tijd in de sluimerstand.
- Open een proxyverbinding.
De ontdekking van de MysterySnail RAT en zijn infrastructuur heeft malwareonderzoekers geholpen meer te weten te komen over de huidige activiteiten van Iron Husky.
