Хакери внедряват новия SloppyRAT чрез ClickFix за улесняване на латералното движение на откупен софтуер

SloppyRAT е инструмент за отдалечен достъп, който изглежда е предназначен да помага на операторите на рансъмуер да се придвижват по-надълбоко в компрометирани мрежи.

Зловредният софтуер пристига чрез ClickFix — метод за социално инженерство, който подмамва хората да изпълняват команди, представени като рутинна проверка.

Вместо незабавно да кодира файлове, атакуващите установяват присъствие, събират подробности за системата и достигават до други устройства, давайки възможност на операцията с рансъмуер да се разрасне. Това забавяне дава възможност на защитниците да спрат атаката преди да започне криптирането.

Zscaler съобщи в доклад, споделен с Cyber Security News (CSN), че е идентифицирал SloppyRAT през юни 2026 г. и е свързал активността с автор на заплаха, свързан с рансъмуер.

Веригата използва системни инструменти на Windows, компоненти на Python и зловреден софтуер, преди да зареди инструмента в паметта. Несъвършеният код подсказва, че той все още се разработва, но въпреки това остава опасен.

Неговите работещи функции поддържат разузнаване, отдалечено изпълнение на команди и мрежово придвижване (pivoting), докато криптирането и мерките за избягване на откриването могат да направят проникването по-трудно за забелязване и ограничаване от страна на защитниците.

Хакери внедряват новия SloppyRAT чрез ClickFix

Инфекцията започва с примамка от типа ClickFix, която дава указания на мишената да стартира команда. Тя злоупотребява с finger.exe на Windows за извличане на скрипт от бач файл — необичаен избор, тъй като старият протокол Finger обикновено използва TCP порт 79 и почти няма място в повечето корпоративни среди.

Скриптът копира легитимния curl.exe в потребителския профил под числово име с разширение .com. След това извлича IronPython, който стартира компресиран и Base64-кодиран код, изтеглящ следващите етапи, включително CastleLoader и CastleRAT.

Предишни кампании с ClickFix, внедряващи PavinLoader, също показаха защо фалшивите подкани за потвърждение са се превърнали в полезен път за доставка.

Отделен Python интерпретатор след това изтегля зареждащ скрипт (loader), който извлича SloppyRAT като DLL и рефлексивно го зарежда в паметта. Този подход ограничава следите по диска и прави инфекцията по-малко видима за потребителите, които може да вярват, че са завършили само стъпка за потвърждение.

След като се активира, SloppyRAT може да получава команди по HTTPS, да инвентаризира машината, да изброява процеси и услуги, да проверява локални акаунти, да чете файлове, да създава или премахва директории и да стартира нови програми.

Той също така може да прави справки или да променя настройките на Microsoft Defender — възможности, които правят ранното откриване и строгия контрол на достъпа изключително важни.

Най-сериозната функция е обратна SOCKS прокси услуга (reverse SOCKS proxy). Тя може да използва инфектирания компютър като мост към вътрешната мрежа, позволявайки на оператора да се свързва с други системи от вече доверена позиция.

Тази функция съответства на прогресията, наблюдавана при подканите от ClickFix, които инсталират инструменти за отдалечен достъп, където първоначалното изпълнение от потребителя може да доведе до по-широко разпространение.

Функциите за избягване се срещат с пропуски в защитата

SloppyRAT криптира части от кода си до момента на изпълнение, крие съществени низове, добавя излишни инструкции и използва индиректни системни повиквания, за да намали стойността на прости проверки на файлове и поведение.

Той също така фиксира (pins) очаквания сертификат на сървъра, което може да попречи на инструментите за мрежова инспекция да прехващат и четат неговия криптиран трафик.

Дизайнът му за командване и контрол включва EtherHiding алтернативен вариант (fallback), който може да разрешава инфраструктура чрез услуги на блокчейна Polygon.

Изследователите не бяха открили проба с адрес на смарт договор, така че тази част може да не е завършена, но показва опит за затрудняване на нарушаването на работата на инфраструктурата.

Подобни притеснения относно устойчивостта се появиха и при доставката на зловреден софтуер чрез ClickFix с поддръжка на блокчейн, където атакуващите използваха децентрализирани услуги за поддръжка на операциите си.

Част от кода за устойчивост е повреден. SloppyRAT прави опит за вписване в Run ключа на регистъра и метод за COM прихващане (COM hijacking), но не успява да подаде правилно DLL пътя и експорта, необходими за нито един от двата подхода.

Зловредният софтуер може също така да премине към реален PowerShell процес с подправен родителски процес explorer.exe, когато неговият път за изпълнение на PowerShell в паметта се провали.

Организациите трябва да блокират ненужния изходящ трафик на TCP порт 79 и да забранят или строго да контролират finger.exe. Екипите по сигурност трябва да обучат персонала си никога да не поставя команди в Run, Command Prompt, Terminal или PowerShell, защото уебстраница ги подканва да го направят — предпазна мярка, която е съответна и за фалшивите примамки със зловреден софтуер от тип CAPTCHA.

Защитниците трябва да следят за необичайни преименувани копия на curl.exe, Python интерпретатори в папки с права за запис от потребителя, съмнително зареждане на DLL в паметта и изходящи връзки към изброената инфраструктура.

Ограничаването на администраторския достъп между мрежовите сегменти и разследването на поведението на отдалечени проксита може да намали шанса една компрометирана крайна точка да се превърне в начална точка за разпространение на рансъмуер в цялата организация.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно дезактивирани (напр. [.]), за да се предотврати случайно разрешаване или създаване на хипервръзки. Възстановете ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.