Нов троянски кон за отдалечен достъп, наречен CoreRAT, предоставя на групата от автори на заплахи Core Werewolf начин да поемат контрол над заразени системи с Windows.
Зловредният софтуер се появи в кампании, наблюдавани от юни до юли 2026 г., въпреки че доказателствата сочат, че е активен поне от март. Неговата поява бележи разширяване на инструментариума на групата.
Атакуващите използват фишинг съобщения в Telegram, за да достигнат до целите си, след което разчитат на файлове, маскирани като официални военни или правителствени документи.
Жертвите, които отварят прикачените файлове, получават PDF документ за отвличане на вниманието, докато скрита програма инсталира зловредния код. Смята се, че операцията е била насочена основно към публичния сектор и отбранителната индустрия на Русия.
Анализаторите от BI.ZONE идентифицираха недокументирания досега инструмент и заявиха, че той заменя предишното използване на легитимния софтуер за отдалечен достъп UltraVNC от страна на групата.
Тази промяна е важна, тъй като персонализираният зловреден софтуер може да бъде модифициран бързо, да се засича по-трудно и да се адаптира към нуждите на атакуващите.
В доклад, споделен с Cyber Security News (CSN), BI.ZONE посочва, че CoreRAT е първият напълно функционален троянски кон за отдалечен достъп на групата. Кампанията показва как познати документи могат да превърнат рутинната комуникация в риск за сигурността.
Core Werewolf използва две програми за доставка, включително саморазархивиращ се 7z архив и дропер, базиран на Rust. И двете програми поставят документ-примамка заедно със зловредния код, помагайки на атаката да изглежда безобидна в самото начало.
CoreRAT е написан на C++ и криптира своя вътрешен текст и адресите на сървърите за командване и управление (C2). Преди да се стартира, той проверява дали се намира в изолирана среда за тестване (виртуална машина), като проверява системните данни, скорошната активност на преките пътища и идентификаторите на мрежовия адаптер.
Ако подозира анализ, той се изключва, вместо да разкрие поведението си. В реална машина на жертва зловредният софтуер събира името на компютъра, данните за BIOS, работещите процеси, файловете на работния плот и информацията за мрежовия адаптер.
Той пакетира резултатите, кодира ги и ги изпраща по HTTPS към своя команден сървър. Това дава на операторите ранна представа за системата и нейната вероятна стойност за атакуващите. Данните могат да помогнат на нападателите да решат какво да откраднат или стартират след това.
Инструментът може да изброява папки, да инспектира процеси, да събира мрежова конфигурация и ARP данни, както и да преглежда активните TCP връзки.
Освен това той може да изпълнява подадена команда или процес, да изтегля допълнителни файлове, да ги декриптира и да ги стартира. Това означава, че успешната инфекция може да стане отправна точка за кражба, наблюдение или по-широко проникване.
CoreRAT може също да се изтрие сам след приключване на задачата. Неговата процедура за премахване преименува изпълнимия файл, създава временен bat файл и изтрива и двете части, след като отстраняването приключи.
Това поведение, съчетано с шифрованите конфигурационни данни, подчертава защо екипите, разследващи предполагаемо компрометиране, трябва да запазят регистрационните файлове (логове) и да събират доказателства бързо.
Веригата за доставка, базирана на 7z, копира примамка под формата на PDF и изпълнимия файл CoreRAT в различни потребителски папки, преди да отвори и двата.
Версията на Rust разархивира ZIP архив във временната директория, показва документ и забавя изпълнението с помощта на командата ping. Този подход прилича на кампанията MostereRAT Windows RAT, където привидно легитимен документ прикрива инфекция с отдалечен достъп.
Изследователите откриха няколко примамки, съдържащи необичайни формулировки за официални съобщения, следи от редактиране на документи и фалшифицирани подписи.
Един от PDF документите също така приличаше на файл, използван от Vortex Werewolf, но доказателствата не бяха достатъчни, за да се потвърди споделена група или инфраструктура. Документите са проектирани така, че да намалят подозрението на получателя.
Организациите трябва да третират неочаквани файлове с документи, особено изпълними файлове, направени да приличат на официални известия, като потенциални заплахи.
Екипите по сигурността трябва да блокират мрежовите индикатори, да наблюдават крайните точки за конкретни имена на файлове и хешове и да разследват необясним изходящ HTTPS трафик.
Осведомеността на потребителите също остава важна, както показва кампанията за отдалечен достъп през LinkedIn, която използва надеждни съобщения за разпространение на подготвени за атака архиви.
Бързото откриване и ограничаване са от ключово значение за намаляване на вредите. Екипите трябва да изолират засегнатите устройства, да нулират идентификационните данни там, където е възможно излагане на риск, да проверят съседните хостове за същите индикатори и да запазят артефакти за анализ.
Защитниците могат също да приложат уроци от кампанията Google Cloud Remcos, докато примамките на съдебна тематика в кампанията covert RAT court подчертават защо всеки твърдян официален документ се нуждае от внимателна проверка.