Κακόβουλο λογισμικό WebRAT μέσω αποθετηρίων GitHub Αξίωση ως απόδειξη της ιδέας Εκμεταλλεύσεις για επίθεση σε χρήστες

Μια νέα καμπάνια κακόβουλου λογισμικού εμφανίστηκε που χρησιμοποιεί αποθετήρια GitHub για να διαδώσει το κακόβουλο λογισμικό WebRAT μεταμφιέζοντάς το ως proof-of-concept exploits και βοηθητικά προγράμματα παιχνιδιών.

Το κακόβουλο λογισμικό στοχεύει χρήστες που αναζητούν απατεώνες παιχνιδιών, πειρατικό λογισμικό και ενημερώσεις κώδικα εφαρμογών, ιδιαίτερα για δημοφιλείς τίτλους όπως το Rust, το Counter-Strike και το Roblox.

Οι εισβολείς διανέμουν το WebRAT μέσω πολλών καναλιών, συμπεριλαμβανομένων των αποθετηρίων GitHub, των σχολίων βίντεο YouTube και των ιστοσελίδων πειρατικού λογισμικού, καθιστώντας το μια ευρέως διαδεδομένη απειλή τόσο για μεμονωμένους παίκτες όσο και για εταιρικά περιβάλλοντα.

Το WebRAT λειτουργεί ως εργαλείο κλοπής και απομακρυσμένης πρόσβασης, ικανό να εξάγει στοιχεία σύνδεσης από πορτοφόλια Steam, Discord, Telegram και κρυπτονομισμάτων.

Το κακόβουλο λογισμικό περιλαμβάνει επίσης προηγμένες λειτουργίες, όπως παρακολούθηση οθόνης επιφάνειας εργασίας, πρόσβαση στην κάμερα web και πλήρη έλεγχο υπολογιστή μέσω της διεπαφής χρήστη.

Αυτές οι δυνατότητες επιτρέπουν στους επιτιθέμενους να συλλέγουν προσωπικές πληροφορίες, να παρακολουθούν τις δραστηριότητες των θυμάτων σε πραγματικό χρόνο και ακόμη και να αναπτύσσουν πρόσθετα κακόβουλα ωφέλιμα φορτία, όπως εξορύκτες κρυπτονομισμάτων ή αποκλειστές.

Τα δεδομένα που συλλέγονται μπορούν να χρησιμοποιηθούν για εξαγορές λογαριασμών, χρηματοοικονομικές κλοπές, εκβιασμούς ή επιθέσεις swatting όπου γίνονται ψευδείς αστυνομικές αναφορές για τον εκφοβισμό των θυμάτων.

Αναλυτές ηλιακής ενέργειας αναγνωρισθείς Το WebRAT κατά τη διάρκεια έρευνας σε δραστηριότητες σκοτεινού ιστού και διαπίστωσε ότι οι πρώτες εκδόσεις εμφανίστηκαν τον Ιανουάριο του 2025.

Το κακόβουλο λογισμικό πωλείται τώρα σε εγκληματίες του κυβερνοχώρου μέσω κλειστών καναλιών, καθιστώντας το προσβάσιμο σε ένα ευρύτερο φάσμα παραγόντων απειλής.

Οι συζητήσεις για τις πλατφόρμες επιτιθέμενων αποκάλυψαν υποτιθέμενες πραγματικές περιπτώσεις όπου το WebRAT χρησιμοποιήθηκε για εκβιασμό και swatting, δείχνοντας ότι δεν πρόκειται απλώς για μια θεωρητική απειλή.

Η στρατηγική διανομής κακόβουλου λογισμικού βασίζεται σε μεγάλο βαθμό στην κοινωνική μηχανική, όπου οι εισβολείς δημοσιεύουν ψεύτικα βίντεο εκμάθησης και αφήνουν σχόλια με συνδέσμους λήψης σε κακόβουλα αρχεία.

Ο πρωταρχικός κίνδυνος εκτείνεται πέρα ​​από τους μεμονωμένους παίκτες σε εταιρικούς υπαλλήλους που κατεβάζουν πειρατικό λογισμικό σε εταιρικές συσκευές.

Μόλις εγκατασταθεί, το WebRAT μπορεί να θέσει σε κίνδυνο ευαίσθητες εταιρικές πληροφορίες, συμπεριλαμβανομένων των συνομιλιών γραφείου και των εμπιστευτικών επιχειρηματικών δεδομένων.

Η ικανότητα του κακόβουλου λογισμικού να ελέγχει τα μολυσμένα συστήματα εξ αποστάσεως επιτρέπει στους εισβολείς να πλοηγούνται στα εταιρικά δίκτυα, οδηγώντας ενδεχομένως σε μεγαλύτερες παραβιάσεις ασφάλειας.

Μηχανισμός Κατανομής και Λοιμώξεων

Το WebRAT εξαπλώνεται μέσω προσεκτικά σχεδιασμένων καμπανιών κοινωνικής μηχανικής που εκμεταλλεύονται την εμπιστοσύνη των χρηστών σε πλατφόρμες ανοιχτού κώδικα όπως το GitHub.

Οι εισβολείς δημιουργούν αποθετήρια που φαίνεται να φιλοξενούν νόμιμες εκμεταλλεύσεις απόδειξης ιδέας, απατεώνες παιχνιδιών ή βοηθητικά προγράμματα.

Αυτά τα αποθετήρια συχνά περιλαμβάνουν λεπτομερή τεκμηρίωση και ψεύτικες κριτικές για την αύξηση της αξιοπιστίας.

Στο YouTube, οι φορείς απειλών ανεβάζουν εκπαιδευτικά βίντεο που δείχνουν πώς να χρησιμοποιούν τα ψεύτικα εργαλεία και δημοσιεύουν συνδέσμους λήψης στην ενότητα σχολίων.

Όταν οι χρήστες κατεβάζουν και εκτελούν αυτά τα αρχεία, το κακόβουλο λογισμικό εγκαθίσταται σιωπηλά χωρίς να προκαλεί άμεση υποψία.

Το ενσωματωμένο κακόβουλο λογισμικό εδραιώνει στη συνέχεια την επιμονή στο σύστημα του θύματος και ξεκινά την εξαγωγή δεδομένων σε διακομιστές εντολών και ελέγχου.

Οι ομάδες ασφαλείας μπορούν να ανιχνεύσουν τη δραστηριότητα WebRAT χρησιμοποιώντας δείκτες συμβιβασμού που παρέχονται από τη Solar 4RAYS, οι οποίοι περιλαμβάνουν διευθύνσεις διακομιστή και υπογραφές δικτύου που σχετίζονται με τα κανάλια επικοινωνίας του κακόβουλου λογισμικού.