Банковият зловреден софтуер получи сериозно подобрение в начина, по който се крие от екипите за сигурност. Кампания, изградена около Banana RAT (троянски кон за отдалечен достъп, отдавна свързван с банкови измами в Бразилия), беше засечена да използва разкрит сървър за бекенд, който създава нови варианти на зловредния софтуер при поискване.
Този сървър не просто хостваше зловредни файлове, той изпълняваше активни инструменти, способни да генерират нови, различно маскирани полезни товари, винаги когато нападателят има нужда от такъв.
Откритието на изследователя Мойсес Серкейра започна с публичен индекс, намерен на един IP адрес, изложен и достъпен за търсене чрез рутинно сканиране на интернет.
Вместо статична извадка от зловреден софтуер, изследователите откриха работеща платформа за доставка, пълна с генератор на зловреден код и скрипт за обфускация, намиращи се точно до самите зловредни файлове.
Според доклад, споделен от ANY.RUN, тази комбинация е позволила на една инфраструктура тихо да произведе две различни версии на Banana RAT в рамките на няколко седмици.
Анализаторите от ANY.RUN идентифицираха изложената конфигурация, като я стартираха в пясъчник (sandbox), и я използваха, за да проследят как се променя зловредният софтуер между две реални детонации: една в края на май 2026 г. и друга в началото на юни 2026 г.
Сравняването на двете версии рамо до рамо даде подробен поглед върху това как операторът на банковия троянски кон подобрява техниките за избягване на детекция почти в реално време.
Въздействието надхвърля една верига на заразяване. Тъй като същият междинен сървър захранваше и двете версии на зловредния софтуер, защитниците в предприятията вече имат по-пълна представа за това как се развива тази операция, а не просто моментна снимка от една извадка.
Това е от значение за всеки, който изгражда правила за откриване или се опитва да блокира тази дейност, преди тя да достигне до банковата сесия на жертвата.
Banana RAT се насочва директно към финансовата дейност, като се фокусира върху кражбата на банкови данни и намесата в платежните транзакции. Способността му да се регенерира в нови форми прави защитите, базирани на черни списъци, много по-малко надеждни с течение на времето.
Banana RAT използва разкрит генератор на зловреден код
Изложеният сървър е изпълнявал скрипт, наречен servidor_completo_pool.py - бекенд услуга, изградена за предварително генериране на полезни товари на зловредния софтуер на партиди, а не един по един.
Той извличаше изходни файлове от уеб директория и предлагаше няколко уеб адреса, които му позволяваха да подготвя пулове от зловреден код, да съобщава статистика и да предоставя готови файлове.
Това показва инструмент за създаване, проектиран за непрекъснато производство на нови копия от зловредния софтуер, а не за един статичен файл, оставен онлайн по погрешка.
Заедно с него е имало и втори скрипт, ofuscador.py, който приема обикновени команди на PowerShell и ги пренаписва в разбъркана последователност от символи, която се сглобява отново и се изпълнява по време на стартиране.
Този трик е това, което позволява на същия базов зловреден софтуер да изглежда различно всеки път, когато попадне на нова машина, тъй като повърхностните детайли продължават да се променят, докато основното поведение остава непроменено.
Как се различават двата клона на Banana RAT
По-ранната версия, детонирана в края на май, разчиташе на фиксирани имена на файлове и пътища на папки, проектирани да изглеждат като легитимни компоненти за актуализация на Windows.
Тя използваше подобен домен с правописна грешка - детайл, който я направи по-лесна за забелязване, след като защитниците откриха несъответствието. Персистентността (запазването на присъствието в системата) разчиташе на планирана задача, свързана с име на изпълним файл, давайки на анализаторите стабилен отпечатък за проследяване.
Новата версия, забелязана в началото на юни, напълно изоставя тази предвидима структура. Инсталационните папки и имената на файлове вече се генерират на случаен принцип за всяка заразена машина, а персистентността се премества към VBS стартер, съчетан със скрита планирана задача, работеща с привилегии на системно ниво.
Комуникацията със сървърите на нападателя се осъществява през криптиран WebSocket канал, като се използва адрес, изграден от хеширан идентификатор, уникален за всеки заразен компютър, което прави простото блокиране на домейни много по-малко ефективно.
Един детайл остава постоянен и в двете версии: резервен IP адрес, вграден в кода, свързващ новия клон директно с по-старата инфраструктура.
Екипите за сигурност се насърчават да блокират трафика, свързан с известните индикатори за компрометиране по-долу, да наблюдават за планирани задачи, създадени под подозрителни имена, и да третират неочакваната скрита дейност на PowerShell като предупредителен знак, който си струва да бъде разследван.
Проследяването на двата клона чрез една и съща изложена инфраструктура даде на защитниците по-ясна представа за това как това семейство зловреден софтуер продължава да се адаптира.