Киберпрестъпници могат да наемат VectraRAT за 250 долара на месец, за да поемат контрол над Windows компютри

Хакерите вече могат да наемат инструмент за отдалечен достъп, насочен към Windows, наречен VectraRAT, за $250 на месец, което намалява бариерата за дълбоко и трайно компрометиране.

Зловредният софтуер дава на плащащите оператори начин да наблюдават жертвите, да крадат данни, да изпълняват команди и да пренасочват трафик през заразен компютър. VectraRAT се появи като услуга със зловреден софтуер само под наем, вместо като еднократен инструмент, използван от една-единствена група.

Разследващите го свързаха с кампании, използващи товарача Amadey и страниците ClickFix, при които фалшиви подкани за потвърждение убеждават хората да изпълняват копирани команди на собствените си устройства.

SOCRadar заяви в доклад, споделен с Cyber Security News (CSN), че неговият екип за изследване на заплахите (Threat Research Unit) е идентифицирал недокументираната досега платформа, след като открита онлайн директория е разкрила мостри, сървърни файлове, лицензи и дневници на оператора.

Разследването започна на 23 юни и се разшири до повече от десет свързани сървъра. Рискът не се ограничава до домашните потребители. От записите за жертви с данни за операционната система, 48 процента са корпоративни издания на Windows, включително Enterprise и Windows Server 2025.

Изследователите са регистрирали 38 реални сесии на жертви за по-малко от седмица с доказателства за кражба на файлове от бизнес системи.

Хакерите могат да наемат VectraRAT за $250

Разработчикът, опериращ като Vectra и известен преди като Nyxel, запазва изходния код и отдава под наем достъп до контролния сървър, импланта за Windows, генератора на зловреден код и канала за поддръжка.

Този модел позволява на клиентите да стартират операции, без да се налага да разработват собствен зловреден софтуер за отдалечен контрол или да поддържат пълна командна система.

VectraRAT се различава от много предложения във форумите, тъй като неговият Linux сървър, Windows имплант, панел за управление и мрежов протокол изглежда са изградени заедно, а не са препакетирани от изтекъл код.

Това не го прави невидим, но може да затрудни правилата за откриване, създадени за познати семейства зловреден софтуер, както показват и скорошните случаи на кражба на идентификационни данни с Windows RAT.

След като бъде инсталиран, имплантът може да отвори скрит работен плот, който жертвите не виждат, да записва натисканията на клавишите, да изпълнява Command Prompt или PowerShell, да прехвърля файлове и да превърне компрометираната система в прокси.

Той също така събира идентификационни данни от браузъра, детайли за мрежата и конфигурационни файлове, съдържащи евентуални API ключове или низове за бази данни при първото си свързване.

Инструментът включва опция за ескалация на привилегии, която може да повиши нивото му на достъп, без да показва подкана на Windows. Неговият подход злоупотребява с доверени процеси на Windows – модел, който отразява опасенията, порадени от заобикалянето на контрола на потребителските акаунти в Windows, и дава на нападателя повече свобода за достъп до защитени данни или за внедряване на последващ зловреден софтуер.

Разпространението чрез ClickFix увеличава залозите

Изследователите са наблюдовали купувачи да разпространяват VectraRAT чрез Amadey и чрез примамки ClickFix, представящи се за TurboTax. При атака тип ClickFix фалшива CAPTCHA или страница за потвърждение инструктира посетителя да отвори диалоговия прозорец Run („Изпълнение“) и да постави команда, превръщайки трик от социалното инженерство в изпълнение на зловреден софтуер.

Скорошните доклади за атаки със зловреден софтуер чрез ClickFix показват колко широко се адаптира тази тактика. Операторите могат също така да променят адреса за обратна връзка на импланта след инсталирането, което намалява необходимостта от прекомпилиране и повторно разпространение на файла при промени в инфраструктурата.

Зловредният софтуер използва персонализиран метод за комуникация, базиран на TCP, по нестандартен канал вместо нормален уеб трафик, докато панелът и свързаните услуги използват отделни портове.

За защитниците най-практичната стъпка за превенция е проста: уебсайт, който казва на дадено лице да отвори Run, Command Prompt, Terminal или PowerShell и да постави команда за потвърждение, не е легитимен.

Екипите по сигурност трябва да блокират изброената инфраструктура, да търсят посочените по-долу хостови и мрежови индикатори и да разследват неочаквани дъщерни процеси, стартирани от инструменти за автоматично ескалиране на привилегии в Windows.

Те също така трябва да следят за необичайно дълги изходящи връзки, особено когато трафикът изобщо няма разпознаваем приложен модел.

Мониторингът на активността на копираните команди и стартирането на PowerShell скоро след запис в клипборда може да помогне за ранното прихващане на веригата на разпространение – защита, подчертана и в отразяването на тактиките при фишинг кампаниите с ClickFix.

VectraRAT показва как скромният месечен абонамент може да даде на по-малко опитните престъпници готов път към кражба на идентификационни данни и траен достъп до мрежи на Windows.

Комбинацията от широки кампании за разпространение, автоматизирано събиране на данни и корпоративни жертви прави бързото блокиране, прегледа на крайните точки и информираността на потребителите от първостепенно значение.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно неутрализирани (напр. [.]), за да се предотврати случайно разрешаване на имена или активиране на хипервръзки. Възстановете оригиналния им вид само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.