В 2022 году на GitHub была впервые опубликована вредоносная программа SparkRAT пользователем XZB-1248. С тех пор она завоевала популярность благодаря своей модульной конструкции, веб-интерфейсу и совместимости с системами Windows, macOS и Linux. В последние месяцы SparkRAT была замечена в операциях кибершпионажа, нацеленных на государственные структуры, а также использовалась в постэксплуатационной деятельности, связанной с уязвимостью CVE-2024-27198.
Технические особенности и методы работы
SparkRAT, разработанная на языке Golang, использует WebSocket для связи со своим сервером управления (C2) и HTTP для проверки версии. Вот ключевые аспекты её работы:
- По умолчанию сервер C2 прослушивает порт 8000, но эту настройку можно легко изменить.
- Вредоносная программа использует базовую аутентификацию по протоколу HTTP, что требует ввода имени пользователя и пароля из файла конфигурации.
- Идентифицируемые отпечатки пальцев SparkRAT могут быть использованы для обнаружения серверов в сети с помощью изучения заголовков и JSON-ответов.
Новые тактики и распространение
Недавние наблюдения показали, что SparkRAT активно распространяется в рамках подозрительной кампании, связанной с Северной Кореей, которая нацелена на пользователей macOS через поддельные страницы собраний. Это свидетельствует о:
- Изменениях в методах доставки SparkRAT, отличающихся от ранее известных.
- Увеличении сложности и изощренности стратегий хакеров.
Примечательный инцидент произошел с открытым сервером в Сеуле, где были обнаружены характеристики, связанные с инфраструктурой, имеющей отношение к КНДР, включая наличие сервера UCLOUD ASN и стек серверов Apache HTTPD.
Зловредная активность и последствия
Каталог сервера содержал:
- Импланты SparkRAT;
- Скрипты bash (dev.sh и test.sh), использующие curl для загрузки client.bin;
- Файл клиента SparkRAT (client.bin), который был признан вредоносным рядом антивирусов и устанавливает постоянный механизм, созидая и удаляя указанный файл каждые 10 минут.
Кроме того, в ходе анализа был выявлен другой сервер SparkRAT C2, обозначенный как domain updatetiker.сайт, работающий на порту 8000 по умолчанию и демонстрирующий поведение, схожее с ранее обнаруженными экземплярами SparkRAT.
Перспективы киберугрозы
Универсальность SparkRAT и её возможность адаптироваться к различным платформам подчеркивают её статус постоянной угрозы. Исследование акцентирует внимание на важности тщательного анализа инфраструктуры и артефактов SparkRAT для:
- Выявления вредоносной деятельности;
- Упреждающего мониторинга угроз.
Обнаружение подозрительного APK-файла, связанного с имитацией вьетнамской платформы онлайн-игр, указывает на эволюцию тактики злоумышленников, стремящихся к обману пользователей.
Заключение
Исследовательская группа планирует продолжить совершенствование методов обнаружения, расширить зону сканирования за пределы портов, используемых по умолчанию, и отслеживать дополнительную инфраструктуру SparkRAT. Это необходимо для предоставления оперативной информации обществу безопасности, что поможет в борьбе с этой постоянной угрозой.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "Рост распространения SparkRAT: угроза кибершпионажа усиливается".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube | X.