NginRAT gömmer sig i Nginx-processer
Cyberkriminella förlitar sig ofta på en kombination av skadliga implantat, även om deras egenskaper tenderar att överlappa varandra. Detta verkar strategin som skaparna av den nyligen upptäckta NginRAT använder. Kopior av denna skadliga programvara återställdes från e-handelsservrar som tidigare var infekterade med CronRAT-provet. Det sistnämnda är också ganska nytt, och det rapporterades första gången den sista veckan i november 2021. NginRAT verkar främst rikta sig mot e-handelstjänster också, och den är aktiv i Nordamerika och Europa.
NginRAT döljer sin aktivitet som Nginx-processen
Namnet NginRAT valdes eftersom denna fjärråtkomsttrojan (RAT) verkar kapa processnamnet för Nginx-tjänsten. Detta är ett enkelt knep för att fördunkla sig själv och göra det svårare att upptäcka dess närvaro – de flesta administratörer skulle inte misstänka att en Nginx-process är farlig.
Även om både NginRAT och CronRAT har liknande egenskaper, verkar det som om NginRAT alltid levererades via den senare. Båda nyttolasterna är inriktade på e-handelsservrar som kör Linux exklusivt. Det är troligt att brottslingarna utnyttjar svaga inloggningsuppgifter eller sårbarheter som finns i föråldrade tjänster som vänder sig till Internet.
Denna fjärråtkomsttrojan gör det möjligt för dess operatörer att utföra kommandon på distans och skicka dem via sin kommando-och-kontrollserver. Eftersom båda nyttolasten har identiska egenskaper är det troligt att NginRAT är tänkt att fungera som en backup i fall den primära nyttolasten upptäcks. Systemadministratörer bör skydda sina nätverk från NginRAT- och CronRAT-nyttolasten genom att använda uppdaterade säkerhetstjänster och brandvägg. Att tillämpa de senaste uppdateringarna för all programvara är naturligtvis också en av de bästa säkerhetsåtgärderna att vidta.
