HiatusRAT Targets Router Firmware
Forskare med Lumen Black Lotus Labs upptäckte en ny skadlig programvara som de har kallat "Hiatus". Den här kampanjen riktar sig till företagsroutrar, främst DrayTek Vigor-modellerna 2960 och 3900, som kan stödja VPN-anslutningar för distansarbetare och är idealiska för medelstora företag. När skadlig programvara är infekterad distribuerar den två skadliga binärfiler - en Remote Access Trojan (RAT) känd som HiatusRAT.
HiatusRAT tillåter angriparna att fjärrinteragera med det infekterade systemet och konvertera det till en hemlig proxy. Binären fokuserad på paketfångning tillåter aktören att övervaka routertrafiken på portarna som är associerade med e-post och filöverföringskommunikation. Hotaktörerna bakom kampanjen har i första hand riktat sig mot uttjänta routrar som kör en i386-arkitektur, men förbyggda binärfiler som riktar sig mot MIPS, i386 och ARM-baserade chips avslöjades också.
Lumen Black Lotus Labs® har identifierat minst 100 infekterade offer, främst i Europa och Latinamerika, med hjälp av proprietär telemetri från Lumen globala IP-stamnät. Den senaste versionen av skadlig programvara blev aktiv i mitten av 2022. Kampanjen misstänks vara inriktad på datainsamling och upprättande av ett hemligt proxynätverk.
Hiatus-kampanjen består av tre komponenter: ett bash-skript, HiatusRAT och en variant av tcpdump som möjliggör paketfångning. HiatusRAT tjänar två syften - att fjärrinteragera med den infekterade enheten och att fungera som en SOCKS5-proxyenhet på routern. Detta gör det möjligt för aktören att proxy C&C-trafik genom routern för att fördunkla kommando och kontroll från en extra agent någon annanstans.
Vad är en fjärråtkomsttrojan?
En Remote Access Trojan (RAT) är en typ av skadlig programvara som ger obehörig åtkomst till ett offers dator eller nätverk. RAT:er sprids vanligtvis via nätfiske-e-postmeddelanden, social ingenjörsteknik eller mjukvaruexploater. När den väl har installerats får angriparen fjärrkontroll över den komprometterade enheten och kan utföra olika åtgärder som att stjäla känslig data, ändra filer eller installera ytterligare skadlig programvara. RAT:er kan också användas för att spionera på offrets aktiviteter, spela in tangenttryckningar, ta skärmdumpar och slå på offrets kamera och mikrofon. RAT anses vara ett allvarligt hot mot integritet och säkerhet, och användare bör vidta åtgärder för att förhindra installationen, som att hålla sina antivirusprogram uppdaterade och undvika misstänkta e-postbilagor eller nedladdningar.
