Хакери използват междуплатформения троянец Noodle RAT за таен контрол над системи с Windows и Linux

Noodle RAT е троянски кон за отдалечен достъп, който дава на атакуващите контрол върху компрометирани компютри и сървъри. Неговата подновена видимост е от значение, тъй като той работи както на Windows, така и на Linux, позволявайки на едно семейство зловреден код да следва жертвите в корпоративните мрежи.

Инструментът се е появил в операции срещу организации в Азиатско-Тихоокеанския регион, включително Тайланд, Индия, Япония, Малайзия и Тайван. Операторите могат да крадат файлове, да изпълняват команди и да пренасочват трафик през системата на жертвата, разширявайки първоначалния пробив в по-широк мрежов риск.

Анализаторите от Check Point идентифицираха зловредния код като отделно семейство, а не просто като друга версия на Gh0st RAT или Rekoobe. Известен също като ANGRYREBEL и Nood RAT, той бива свързван с китайскоезични автори на заплахи от поне средата на 2016 г.

От Check Point заявяват в доклад, споделен с Cyber Security News (CSN), че атакуващите могат да използват злонамерени връзки и валидни профили срещу потребители на Windows, докато уязвимите Linux сървъри могат да бъдат инфектирани след експлоатация или разполагане на web-shell. Отстраняването на уязвимости, защитата на профилите и мониторингът на сървърите са от основно значение за ограничаване на щетите.

Hackers Use Cross-Platform Noodle RAT

Noodle RAT предоставя на операторите различни инструменти за всяка операционна система, но запазва подобен дизайн за командване и контрол (command-and-control). Този споделен подход помага за управлението на инфекциите в смесени среди.

При Windows, Win.NOODLERAT работи като модулна задна врата (backdoor), която може да се изпълнява в паметта след зареждане чрез шелкод (shellcode). Зареждащи програми (loaders), известни като MULTIDROP и MICROLOAD, са свързани с този процес, намалявайки видимите файлове.

След като бъде активиран, имплантът за Windows може да качва и изтегля файлове, да стартира допълнителни модули, да действа като TCP прокси и да се самоизтрива. Тези функции позволяват на атакуващ да събира информация и да достига до други ресурси – модел, който се наблюдава и при междинни RAT атаки срещу няколко операционни системи.

Linux.NOODLERAT е проектиран за достъп от страна на сървъра. Той може да отваря обратен шел (reverse shell), да управлява файлове, да планира задачи и да създава SOCKS тунели, които препредават мрежовия трафик. Изследователите казват, че той често следва експлоатация или внедряване на web-shell срещу уязвими Linux сървъри, повтаряйки разследванията на безфайлови Linux web-shell атаки.

И двете версии защитават комуникациите от обикновен преглед. Вариантът за Windows използва RC4, XOR и персонализирано криптиране, докато Linux използва HMAC-SHA1 и AES-128-CBC. Непознати криптирани изходящи сесии изискват разследване, когато са комбинирани със съмнително поведение на процеси или профили.

Campaign reach and defense

Съобщената профилография на жертвите показва защо Noodle RAT не е проблем само за една платформа. Групи за заплахи, включително Iron Tiger, Calypso APT, Rocke и Cloud Snooper, са го внедрявали, което подсказва, че наборът от инструменти е привлекателен както за оператори, свързани с държавни структури, така и за финансово мотивирани киберпрестъпници.

Контролният панел на Linux билдера и бележките към версията на опростен китайски език показват текуща разработка и възможност за комерсиален набор от инструменти.

Споделеният код с плъгини на Gh0st RAT за Windows и с Rekoobe или Tiny SHell за Linux добавя объркване, но изследователите оценяват Noodle RAT като отделно семейство задни врати (backdoors).

Неговите техники включват събиране на данни и извличане (exfiltration) през канали за командване и контрол, откриване на файлове и системни детайли, незащитени данни за достъп, маскиране и обфускация. Той може да поддържа присъствие чрез Run ключове в Windows Registry, папки за автоматично стартиране и планирани задачи или чрез Linux RC скриптове и планирани задачи.

Методите за първоначален достъп изискват внимание на периметъра и върху крайните точки. Експлоатацията на публично достъпни приложения, злонамерените връзки и валидните профили се свързват с тази дейност.

Администраторите трябва спешно да инсталират корекции за сигурност на услугите, достъпни по интернет, да премахнат ненужната уязвимост и да разследват за web-shell-ове, както илюстрират и докладите за експлоатация на Windows Linux сървъри.

Защитниците трябва да прилагат многофакторна автентикация, да преглеждат привилегированите и неактивните профили и да наблюдават за необичайни изходящи връзки, планирани задачи и промени в автоматичното стартиране. Отделянето на критичните сървъри от потребителските мрежи и поддържането на тествани резервни копия може да ограничи въздействието от евентуално компрометиране.

Вариантите за Windows и Linux отразяват единен дизайн въпреки специфичните за всяка платформа функции. Констатациите напомнят на организациите, че инфраструктурите със смесени операционни системи се нуждаят от последователна видимост, особено когато инфектиран сървър може да се превърне вотра стъпка към целия бизнес.

За екипите по сигурност практическият приоритет е корелацията. Съмнителна връзка или изложено на риск приложение може да бъде входната точка, но следите могат да се появят по-късно в криптиран трафик, неочаквано поведение на прокси или планиране на задачи.

Прегледът на индикаторите по-долу заедно с телеметрията от крайните точки и сървърите може да помогне за определяне на обхвата на потенциална дейност на Noodle RAT и да ускори реакцията.

Indicators of compromise (IoCs):-

Забележка: IP адресите и домейните са нарочно обезвредени (напр. [.]), за да се предотврати случайно разрешаване или създаване на хипервръзки. Възстановете ги само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.

Намалете времето за разследване на всяко предупреждение в SOC с 21 минути. Осигурете на вашия SOC мигновен IOC контекст за незабавна реакция: Интегрирайте TI Lookup във вашия SOC