AHK RAT Loader dostarcza mnóstwo RAT-ów
Skrypty AutoHotKey (AHK) mają pomóc użytkownikom zautomatyzować określone zadania przy użyciu gotowych skryptów. Skrypty te mają postać pliku „.ahk” i są wykonywane przy użyciu interpretera o nazwie AutoHotKey. Wygląda jednak na to, że cyberprzestępcy zaczęli nadużywać tej użytecznej funkcji w celu wdrażania i uruchamiania złośliwego oprogramowania. Od lutego 2021 roku eksperci ds. Cyberbezpieczeństwa obserwują trwającą kampanię, która wykorzystuje złośliwe skrypty AHK do wdrażania szerokiej gamy trojanów dostępu zdalnego (RAT).
Skrypty AHK nadużywane przez przestępców mają kilka wymyślnych funkcji, takich jak możliwość ominięcia kontroli konta użytkownika (UAC), wyłączenia usługi Windows Defender, ominięcia maszyn wirtualnych i nie tylko. Nie jest jasne, w jaki sposób ostateczny plik AHK jest dostarczany ofiarom, ale istnieje szansa, że operatorzy kampanii mogą nadużywać więcej niż jednej strategii propagacji. Na przykład mogą przesyłać złośliwe skrypty AHK do legalnych repozytoriów, wykorzystując w ten sposób przypadkowe ofiary. Możliwe jest również, że docierają do ofiar za pośrednictwem fałszywych pobrań, fałszywych załączników do wiadomości e-mail i innych podejrzanych treści, które dostarczają zarówno interpreter AHK, jak i sam złośliwy skrypt.
Niektóre rodziny RAT używane w kampanii AHK RAT Loader to Vjw0rm, WSHRAT, AsyncRAT i LimeRAT. Cechą charakterystyczną metody dostarczania jest to, że złośliwy plik wykonywalny był często wypełniony wieloma legalnymi instalatorami - jest to prawdopodobnie podstawowa próba odrzucenia narzędzi i usług zabezpieczających. Oprócz ładunków AHK RAT Loader wykonuje również skrypty AHK przeznaczone do wyłączania programu Windows Defender. Podobny program ładujący również pojawił się niedawno w wiadomościach - Snip3 Loader wzmacnia kampanie RAT Attack na dużą skalę .
Chociaż gangi cyberprzestępcze wykorzystują różne metody ominięcia UAC, Windows Defender i innych prostych środków bezpieczeństwa, jest to jedna z pierwszych kampanii, w których wykorzystuje się skrypty AHK. Program ładujący AHK RAT jest obecnie wykrywany przez renomowane oprogramowanie antywirusowe i możesz mieć pewność, że Twój system nie jest zagrożony, jeśli chronisz go aktualnym oprogramowaniem chroniącym przed złośliwym oprogramowaniem.
