По-евтин и по-бърз начин за проникване

Троянски кон за отдалечен достъп, известен като DarkMe RAT, е в новините по причина, която има по-малко общо със сложния код и повече с basic икономика. Според репортаж на Help Net Security, атакуващите зад DarkMe са спрели да разчитат на скъпи zero-day експлойти и вместо това използват нещо далеч по-познато: обикновен фишинг имейл. Тази промяна им позволява да провеждат кампании с голям обем срещу корпоративни цели без разходите, времето или риска да изгорят ценна непоправена уязвимост.

Това е важно, защото zero-day експлойтите, макар и мощни, са скъпи за разработване или купуване и обикновено биват поправяни бързо, след като бъдат открити, което ограничава полезния им живот. Фишингът, за разлика от тях, е евтин, мащабируем и безкрайно преизползваем. Ако DarkMe RAT може да постигне подобни резултати чрез добре изготвен имейл вместо рядък софтуерен дефект, това сигнализира за по-широка тенденция: атакуващите оптимизират за обем и надеждност вместо за техническа сложност.

Какво прави DarkMe RAT, след като влезе

DarkMe RAT е троянски кон за отдалечен достъп — зловреден софтуер, предназначен да даде на атакуващия продължителен, ръчен контрол върху заразено устройство. След като бъде инсталиран, RAT обикновено позволява на натрапника да разглежда файлове, да записва натискания на клавиши, да прави екранни снимки, да изнася данни или да се придвижва по-навътре в корпоративна мрежа. Специфичната опасност на RAT в сравнение с по-простия зловреден софтуер е устойчивостта: той не просто открадва един пакет данни и изчезва, а може да стои тихо в системата за продължителен период, давайки на атакуващите повтарящ се достъп до всяка чувствителна информация, която преминава през тази машина.

Като съчетават такъв инструмент с масова фишинг кампания вместо с целенасочен експлойт, атакуващите увеличават шансовете си за успех просто чрез обема. Не всеки служител ще кликне на зловреден линк или ще отвори капан за прикачен файл, но в голяма организация е нужен само един човек да направи тази грешка, за да получи RAT опорна точка.

Защо това е история за поверителността, а не само за зловреден софтуер

Изкушаващо е DarkMe RAT да бъде причислен към „техническа заплаха“ и да продължим напред, но истинската история тук е за излагането на данни. Корпоративните мрежи съдържат служебни досиета, финансови системи, клиентски бази данни и вътрешни комуникации. RAT с постоянен достъп може тихо да събира всичко това с течение на времето, много преди някой да забележи, че нещо не е наред.

Този модел наподобява други скорошни инциденти, при които първоначалната точка на провал не е бил сложен хак, а прост трик за социално инженерство. Изтичането на данни на Revolut е добър пример: не са били необходими зловреден софтуер или експлоатиран софтуерен дефект, а само убедителен фалшив имейл, който е накарал някого да предаде чувствителна информация. Обръщането на DarkMe RAT към фишинг следва същата логика. Защо да харчите ресурси за разработване или купуване на zero-day, когато добре написан имейл може да постигне същата цел?

Това също отразява по-широка промяна в начина, по който операторите на ransomware и зловреден софтуер избират целите си. Репортажът за това как ransomware вече атакува множество служители, а не само ИТ персонал показва, че атакуващите все по-често хвърлят широка мрежа върху организацията, вместо да се фокусират тясно върху привилегировани акаунти. Подходът на DarkMe RAT с приоритет на фишинга следва същия сценарий: повече цели, повече опити, повече шансове един да успее.

Какво означава това за вас

Ако работите в компания, която вероятно би могла да бъде атакувана — което днес означава почти всяка организация с ценни данни — това развитие е напомняне, че най-голямата заплаха за сигурността на работодателя ви може да не е неясен софтуерен бъг. Това е имейлът, който стои в пощата ви точно сега. Атакуващите залагат, че basic фишингът все още работи достатъчно добре, че да не им трябва нищо по-изискано.

За служителите това означава да третират всеки неочакван прикачен файл или линк в имейл със здравословна доза скептицизъм, дори ако изглежда, че идва от колега или доверен доставчик. За ИТ и екипите по сигурност това подсилва стойността на филтрирането на имейли, обучението на служителите и мониторинга на крайни точки, които могат да засекат активността на RAT дори след като първоначалният фишинг имейл е преминал. Атакуващите, конкуриращи се за опорни точки в корпоративните мрежи, както се вижда при групи като ransomware операциите Qilin и The Gentlemen, са показали, че няма организация, твърде малка, за да си струва усилията.

Практически изводи

  • Отнасяйте се към неочаквани прикачени файлове и линкове с подозрение, независимо колко легитимен изглежда подателят.
  • Проверявайте необичайни искания чрез отделен комуникационен канал, преди да действате по тях.
  • Поддържайте актуализирани инструментите за сигурност на крайни точки и филтриране на имейли, тъй като RAT като DarkMe разчитат да преминат през тези защити.
  • Докладвайте подозрителни имейли на вашия ИТ или екип по сигурност незабавно, вместо тихо да ги изтривате.
  • Приемайте, че всяка организация, голяма или малка, може да бъде цел, щом фишингът стане предпочитаният метод за доставяне.

Промяната на DarkMe RAT away от zero-days не го прави по-малко опасен, а по-вероятно да достигне до обикновените служители. Бдителността към basic фишинг тактики остава една от най-ефективните защити срещу заплахи като тази.