Forscher haben eine Kampagne beschrieben , bei der ein Remote-Access-Trojaner (RAT) namens AtlasRAT über ein gefälschtes Flash-Player-Installationsprogramm verbreitet wird.
Viele suchen immer noch nach „Flash Player“, weil erstaunlich viele Inhalte und Software auf Flash basieren und nie richtig migriert wurden. Oft wollen Nutzer einfach nur schnell alte Websites, Spiele oder Geschäftsanwendungen wieder zum Laufen bringen.
Das zugrundeliegende Problem ist, dass Adobe die Unterstützung für den Flash Player am 31. Dezember 2020 eingestellt hat und aktiv verhindert, dass Flash-Inhalte im offiziellen Player abgespielt werden.
Angreifer wissen, dass manche Leute immer noch nach Flash suchen, um ein Spiel oder eine Geschäftsanwendung auszuführen. Deshalb verpacken sie ihre Schadsoftware in ein gefälschtes Flash-bezogenes Installationsprogramm, das vertraut und legitim aussieht.
Das ist wahrscheinlich der Grund, warum die AtlasRAT-Infektionskette mit einer Delphi-ausführbaren Datei namens beginnt. FlashPlay.Exe, getarnt als „AGE Flash Player“-Installationsprogramm. Der Loader der ersten Stufe läuft vollständig im Arbeitsspeicher und rekonstruiert zusätzliche Nutzdaten, anstatt offensichtliche Dateien auf der Festplatte abzulegen – eine Technik, die oft als … bezeichnet wird. dateilose Malware.
Die endgültige Nutzlast (MainDll.Dll) verwendet ein selbstsigniertes Zertifikatsfälschung CN=update.Microsoft.Com zur Initialisierung der TLS-Clientkommunikation und zur Verschlüsselung des Command-and-Control-Verkehrs (C2).
Ein selbstunterschriebenes Zertifikat Das bedeutet, dass der Inhaber mit seinem eigenen Schlüssel signiert, anstatt mit einem vertrauenswürdigen Zertifizierungszentrum (CA). Dadurch kann ein Angreifer ein Zertifikat erstellen, das vorgibt, von einem vertrauenswürdigen Zertifizierungszentrum (CA) zu sein. update.microsoft.com oder google.comAuch wenn sie diese Domains nicht kontrollieren, würde ein Webbrowser ein solches Zertifikat mit einer Warnung ablehnen. Speziell entwickelte Schadsoftware kann jedoch die Vertrauensprüfungen des Betriebssystems einfach ignorieren und es nutzen, um eine verschlüsselte C2-Verbindung herzustellen.
Nach der Installation von AtlasRAT erhält der Betreiber die langfristige Fernsteuerung des infizierten Systems. Windows System mit folgenden Fähigkeiten:
- Sammeln von Anmeldeinformationen über Offline-Keylogging
- Systeminformationen sammeln und installierte Sicherheitsprodukte identifizieren
- Datenexfiltration über verschlüsselte Kanäle
- Durch das Einschleusen von DLLs in Anwendungen wie WeChat kann der Angreifer möglicherweise Nachrichten überwachen oder manipulieren oder Malware-Aktivitäten oder Verbindungen verbergen.
Auf Grundlage historischer Daten vermuten die Forscher, dass es sich bei AtlasRAT eher um ein wiederverwendbares Framework oder ein kommerzielles Angebot als um ein einmaliges Werkzeug handelt, das von einer einzelnen Gruppe verwendet wird.
Wie man sicher bleibt
Bei der Suche nach Apps und Software für eine bestimmte Aufgabe sollten Sie bedenken, dass Cyberkriminelle häufig beliebte Suchanfragen für gezielte Angriffe ausnutzen. In früheren Kampagnen wurde beispielsweise AtlasRAT auch als gefälschte App verbreitet . VPN Installer.
Einige Tipps, um diese und andere RAT-Programme von Ihrem Computer fernzuhalten:
- Prüfen Sie sorgfältig, was Sie installieren möchten. Gesponserte Suchergebnisse sind keine Garantie dafür, dass die Software legitim ist.
- Verwenden Sie eine aktuelle Echtzeit -Antimalware-Lösung, um Remote-Access-Trojaner zu erkennen und zu blockieren. Malwarebytes AtlasRAT wurde als Malware.AI.1710771908 erkannt.
- Halten Sie Ihr Betriebssystem, Ihren Browser und Ihre Sicherheitssoftware auf dem neuesten Stand.
Von der Meldung von Bedrohungen bis zu deren Beseitigung.
Cybersecurity-Risiken sollten nie über eine Schlagzeile hinausgehen. Laden Sie noch heute Malwarebytes herunter, um Bedrohungen von Ihren Geräten fernzuhalten.
