Các chuyên gia cảnh báo rằng DCRat Backdoor đang được bán trên các diễn đàn hacking của Nga - Bảo mật

Các chuyên gia cảnh báo rằng DCRat Backdoor đang được bán trên các diễn đàn hacking của Nga

Các chuyên gia an ninh mạng đã làm sáng tỏ một trojan truy cập từ xa có tên là DCRat (hay còn gọi là DarkCrystal RAT) được rao bán với giá “rẻ như bèo”, giúp cho các nhóm tội phạm mạng chuyên nghiệp cũng như các hacker mới đều có thể sở hữu nó.

Các chuyên gia của BlackBerry cho biết trong một báo cáo được chia sẻ với The Hacker News rằng: “Không giống như các nhóm đe dọa khổng lồ được tài trợ tốt của Nga đang tạo ra các mã độc tùy chỉnh theo ý mình […], Trojan truy cập từ xa (RAT) này dường như là sản phẩm của một hacker duy nhất, cung cấp một công cụ tự chế hiệu quả đáng ngạc nhiên để mở backdoor với ngân sách tiết kiệm”.

“Trên thực tế, RAT của tin tặc này bán với giá chỉ bằng một phần nhỏ so với giá tiêu chuẩn của các công cụ tương tự trên các diễn đàn ngầm của Nga”.

Được viết bằng .NET bởi một cá nhân có biệt danh là “boldenis44” và “crystalcoder”, DCRat là một cửa hậu đầy đủ tính năng có các chức năng có thể được tăng cường thêm bằng các plugin của bên thứ ba do các tin tặc phát triển bằng cách sử dụng môi trường phát triển tích hợp chuyên dụng (IDE) được gọi là DCRat Studio.

Nó được phát hành lần đầu tiên vào năm 2018, với phiên bản 3.0 ra mắt vào ngày 30 tháng 5 năm 2020 và phiên bản 4.0 ra mắt gần một năm sau đó vào ngày 18 tháng 3 năm 2021.

Giá của trojan bắt đầu ở mức 500 RUB (5 đô la) cho hai tháng, 2.200 RUB (21 đô la) cho một năm và 4.200 RUB (40 đô la) để sử dụng trọn đời. Những con số này còn được giảm thêm trong các chương trình khuyến mãi đặc biệt.

Trong khi một phân tích trước đây của Mandiant vào tháng 5 năm 2020 đã tìm ra cơ sở hạ tầng của RAT tới files.dcrat [.] Ru, gói mã độc hiện được lưu trữ trên một miền khác có tên là crystalfiles [.] Ru. Điều này cho thấy sự thay đổi trong phản ứng với việc bị tiết lộ công khai.

Các chuyên gia cho biết: “Tất cả các hoạt động tiếp thị và bán hàng của DCRat đều được thực hiện thông qua diễn đàn hacking nổi tiếng của Nga lolz [.] Guru. Diễn đàn này cũng xử lý một số truy vấn trước khi bán hàng của DCRat”.

Cũng được sử dụng để liên lạc và chia sẻ thông tin về các bản cập nhật phần mềm và plugin là kênh Telegram có khoảng 2.847 người đăng ký tính đến thời điểm viết bài này.

Các tin nhắn được đăng trên kênh này trong những tuần gần đây bao gồm các bản cập nhật cho các plugin CryptoStealer, TelegramNotifier và WindowsDefenderExcluder, cũng như “các thay đổi / sửa chữa giao diện” cho bảng điều khiển.

Theo một thông báo đã dịch được chia sẻ vào ngày 16 tháng 4 thì “Một số tính năng vui nhộn đã được chuyển sang plugin tiêu chuẩn. Dung lượng của mã độc đã giảm đi một chút. Sẽ không có phát hiện nào liên quan đến các chức năng này”.

Bên cạnh kiến ​​trúc mô-đun và khuôn khổ plugin riêng, DCRat cũng bao gồm một thành phần quản trị được thiết kế để có thể kích hoạt công tắc tự hủy, cho phép tin tặc kích hoạt từ xa khiến công cụ này trở nên không thể sử dụng được.

Về phần mình, tiện ích quản trị cho phép người dùng đăng nhập vào máy chủ điều khiển và chỉ huy đang hoạt động, ra lệnh cho các điểm cuối bị nhiễm và gửi báo cáo lỗi cùng với nhiều tính năng khác.

Các vectơ phát tán được sử dụng để lây nhiễm DCRat bao gồm Cobalt Strike Beacons và hệ thống định hướng lưu lượng (TDS) được gọi là Prometheus, một giải pháp phần mềm tội phạm dưới dạng dịch vụ (CaaS) dựa trên đăng ký gói được sử dụng để phát tán nhiều loại mã độc.

Cửa hậu này ngoài việc thu thập siêu dữ liệu hệ thống còn hỗ trợ khả năng giám sát, do thám, đánh cắp thông tin và tấn công DDoS. Nó cũng có thể chụp ảnh màn hình, ghi lại các lần gõ phím và lấy cắp nội dung từ khay nhớ tạm, Telegram và các trình duyệt web.

Các chuyên gia cho biết: “Các plugin mới và các bản cập nhật nhỏ được công bố hầu như mỗi ngày. Nếu mối đe dọa đang được phát triển và duy trì bởi chỉ một người, có vẻ như đó là một dự án mà họ đang làm việc toàn thời gian”.

Theo Thehackernews

The post Các chuyên gia cảnh báo rằng DCRat Backdoor đang được bán trên các diễn đàn hacking của Nga appeared first on SecurityDaily.

from SecurityDaily https://ift.tt/y51ZHhm