Вредоносная программа Atlas RAT (средство удалённого доступа, дающее злоумышленнику контроль над заражённым компьютером) сменила схему связи с командно-контрольными серверами. Раньше сессия начиналась с пяти латинских символов на букву S и трёх пустых байтов. С мая 2026 года первая метка начинается с буквы B. В июле программа перешла на защищённый протокол TLS, который применяют почти все современные сайты. Командный сервер теперь предъявляет поддельный сертификат на имя службы обновлений Microsoft.
Описание
Atlas RAT связывают с группировкой Silver Fox, известной также как Void Arachne, TA4922, SwimSnake и UTG-Q-1000. Она распространяет троянизированные сборки популярных программ и уже отметилась семействами ValleyRAT (второе название Winos4.0) и Gh0st RAT. Прямых доказательств родства семейств пока нет. Однако {как отмечают в Netresec}, ValleyRAT и Atlas RAT обращались к одним и тем же командным серверам, пусть и через разные порты. Это указывает на общих операторов.
Новую метку распознало средство сетевого мониторинга FlowCarp. Это продукт Netresec для разбора перехваченного трафика. Модель обнаружения для него строили на старых образцах с меткой на букву S, и всё же вредоносное соединение она определила. Обновлённая версия учитывает оба варианта. FlowCarp разбирает не только первую метку сессии, поэтому очередная смена заголовка вряд ли останется незамеченной.
За меткой стоит загрузчик - первый этап заражения. Он получает с сервера от 300 до 500 килобайт шелл-кода (вредоносного кода, который работает в памяти и не остаётся на диске) вместе с библиотекой полной версии бэкдора. Такая схема оставляет мало следов на диске, и системы защиты замечают вторжение позже. Затем Atlas RAT открывает второе соединение с тем же сервером, но уже по другому протоколу. До конца марта 2026 года передаваемые пакеты шифровали встроенным алгоритмом. Потом операторы перешли на простое наложение с фиксированным ключом, а в июле от него отказались ради TLS.
С недавних пор бэкдор устанавливает с сервером отдельную защищённую сессию. Прежние версии выходили на нестандартные порты, теперь трафик идёт через стандартный порт защищённого веб-доступа, и отсеять его фильтрами сложнее. Сервер предъявляет самоподписанный сертификат, оформленный на доменное имя службы обновлений Microsoft. Для публичного ресурса такой документ необычен, ведь доверие к нему не подтверждает ни один удостоверяющий центр. Опознать участников обмена можно по характерным отпечаткам рукопожатия - они остаются одинаковыми у клиента и у сервера. Через открытое соединение оператор отдаёт команды и забирает похищенные файлы.
Тем, кто не готов внедрять FlowCarp, доступен набор правил для Suricata (система обнаружения вторжений, которая следит за сетевыми пакетами). Они срабатывают на обе служебные метки, на рукопожатие защищённой сессии и на поддельный сертификат. Полный разбор цепочки атаки, загрузчика и структуры трафика собран в техническом материале "Trust the Tunnel, Get the Trojan".
Заражение начинается с троянизированной программы, поэтому основной риск несут загрузки из ненадёжных источников и пиратские сборки. Попадание Atlas RAT в корпоративную сеть даёт злоумышленнику доступ к документам, переписке и внутренним системам, а также возможности для бокового перемещения (перехода с одной заражённой машины на другие). Операторы Silver Fox последовательно уходят от нестандартных протоколов к массовым и хорошо зашифрованным. Защитным системам приходится оценивать отпечатки соединений и сертификаты, а не сам факт шифрования.
Индикаторы компрометации
Suricata
