ReverseRat, pakistański trojan atakujący indyjskie podmioty

Wojna cybernetyczna między Indiami a Pakistanem trwa. Tym razem nieznany pakistański podmiot zajmujący się zagrożeniami używa nowego złośliwego oprogramowania o nazwie ReverseRat, aby naruszyć bezpieczeństwo sieci indyjskich firm energetycznych. To nowe zagrożenie było często używane w połączeniu z innymi ładunkami i wydaje się, że jego głównym celem jest kradzież danych i rozpoznanie. Chociaż funkcje ReverseRat nie są zbyt zaawansowane, zawiera więcej niż wystarczającą funkcjonalność, aby umożliwić swoim operatorom wykonywanie wszelkiego rodzaju zadań na systemach, które narażają.

ReverseRat zaangażowany w ataki na indyjskie firmy energetyczne

Do tej pory naukowcy nie byli w stanie wskazać dokładnych metod, których używają przestępcy do dostarczenia implantu, ale jest bardzo prawdopodobne, że polegają na załącznikach do wiadomości e-mail. Jeśli użytkownik wejdzie w interakcję z podejrzaną wiadomością e-mail, może zostać poproszony o pobranie pliku załącznika lub pliku hostowanego w zewnętrznej witrynie. Przedmiotowy plik jest zazwyczaj archiwum ZIP, które zawiera plik LNK lub PDF. Te dwa pliki mogą wykonać złośliwy kod, jeśli użytkownik przyzna im określone uprawnienia. Tematy tych fałszywych dokumentów mogą się różnić, ale przestępcy wydają się skupiać na tematach specyficznych dla sektora energetycznego lub związanych ze szczepionkami COVID-19.

ReverseRat zawiera ogromną liczbę funkcji

Przed uruchomieniem ReverseRat zbierze podstawowe informacje o naruszonej sieci – adres MAC, adres IP, konfigurację sprzętu i oprogramowania oraz nazwę komputera. Po uruchomieniu ma możliwość wykonywania kilku zadań:

• Pobierz i uruchom pliki wykonywalne.
• Kradnij pliki.
• Uruchom nowy proces.
• Zarządzaj systemem plików.
• Lista zawartości katalogu.
• Zobacz uruchomiony proces i zarządzaj nim.
• Przejmij schowek.
• Chwyć zrzuty ekranu.

Trojan ReverseRat posiada zdolność wykonywania niektórych swoich komponentów w pamięci, minimalizując w ten sposób ślad danych pozostawiany w systemach, które naraża. Jednak jego atak nie jest całkowicie bezplikowy i powinien być łatwo wykrywalny przez renomowane produkty antywirusowe.