PatchWork APT-hackers stellen hun systemen bloot via Ragnatela RAT

Advanced Persistent Threat (APT)-groepen behoren tot de gevaarlijkste organisaties voor cybercriminaliteit. Ze hebben meestal ultramoderne malware tot hun beschikking en vertrouwen op zeer geavanceerde aanvalsmechanismen om de systemen van hun slachtoffer binnen te dringen, zonder sporen achter te laten. Het lijkt er echter op dat een van de actieve APT-groepen van de afgelopen maanden, PatchWork, een grote fout heeft gemaakt tijdens hun laatste aanval.

De PatchWork APT-hackers hadden een stukje malware gebruikt dat bekend staat als de Ragnatela RAT. Ze bezorgen het aan slachtoffers via kwaadaardige e-mailbijlagen, en hun uiteindelijke doel is om de mogelijkheid te krijgen om externe opdrachten uit te voeren, bestanden te stelen en hun slachtoffers te bespioneren. Om onbekende reden hebben de hackers echter ook hun eigen systemen besmet met de Ragnatela RAT. Dit klinkt misschien als een enorm probleem, maar onthoud dat alle informatie die deze Trojan verzamelt, naar een command-and-control-server wordt gestuurd.

Ragnatela RAT-logboeken onthulde de innerlijke werking van PatchWork

De server in kwestie werd gecompromitteerd door beveiligingsonderzoekers en dit stelde hen op hun beurt in staat om de PatchWork-hackers voor een langere periode te bespioneren. Tijdens deze operatie hebben beveiligingsexperts veel informatie kunnen verzamelen over de aanvallen van PatchWork en het arsenaal dat ze tot hun beschikking hebben. Dit werd bereikt dankzij het verkrijgen van screenshots, keylogger-logboeken, bestanden, documenten, communicatie en meer. Dergelijke informatie is ongelooflijk waardevol voor malwareonderzoekers, omdat het hen een geheel nieuw perspectief geeft op hoe APT-groepen werken.

In dit scenario lijkt het erop dat de PatchWork-hackers uit Oost-Azië niet zo geavanceerd zijn als andere spraakmakende APT-groepen zoals die uit Noord-Korea en Rusland. Ongeacht de eenvoudigere operaties die PatchWork uitvoert, zijn hun doelen nog steeds zeer spraakmakend. De Ragnatela RAT-campagne heeft geïnfecteerde systemen van het Pakistaanse ministerie van Defensie en van verschillende universiteiten geïnfecteerd.