С середины 2016 года в Азиатско-Тихоокеанском регионе действует Noodle RAT - программа удалённого доступа, то есть вредоносное ПО, которое даёт злоумышленнику скрытый контроль над чужим компьютером. Разработка существует в двух версиях: для Windows и для Linux. Обе собраны по общей схеме, связываются с управляющими серверами похожим способом и подключают дополнительные модули по необходимости. Раньше Noodle RAT путали с другими известными семействами - Gh0st RAT и Rekoobe. Сейчас его выделили в отдельную разработку. Имена ANGRYREBEL и Nood RAT, встречавшиеся в отчётах, относят к тому же семейству.
Описание
География атак широкая: Таиланд, Индия, Япония, Малайзия, Тайвань. Среди пострадавших - государственные структуры, промышленные предприятия, научные организации и частные пользователи. Инструмент применяли группы, работающие в интересах государств, - Iron Tiger, Calypso APT, Cloud Snooper, - а также криминальные команды вроде Rocke. Такое соседство объяснимо. Один набор программ переходит от заказчика к заказчику, и каждый распоряжается им по-своему.
Цели у операторов различаются. Государственные группировки добывают разведданные, следят за чиновниками и промышленностью, собирают сведения о научных разработках. Криминальные команды ищут вычислительные ресурсы и доступ к внутренним сетям компаний. Для одних Noodle RAT - инструмент шпионажа, для других - способ заработать на чужой инфраструктуре.
Версия для Windows работает без установки на диск. Она живёт в оперативной памяти и запускается через отдельные загрузчики, поэтому после перезагрузки компьютера следов почти не остаётся. Возможности широкие: загрузка и выгрузка файлов, запуск дополнительных модулей, перенаправление трафика и самоудаление по команде оператора. Linux-версия устроена иначе. Она сама выходит на связь с управляющим сервером, управляет файлами, ставит задачи по расписанию и пропускает чужой трафик через заражённую машину. Как показало исследование, устанавливают её чаще всего уже после взлома - например, через скрытый управляющий скрипт на веб-сервере.
Связь с командными серверами защищена. В версии для Windows разработчики соединили стандартные и собственные алгоритмы шифрования. В версии для Linux добавили проверку подлинности сообщений и блочное шифрование. Настройки тоже хранятся в закрытом виде. Перехватить управление чужой сетью не получится: без ключей переданные команды бесполезны.
Анализ кода даёт ещё одну деталь. Часть фрагментов совпадает с плагинами Gh0st RAT, а отдельные решения напоминают Rekoobe и Tiny SHell. При этом семейство сохраняет собственное ядро и развивается самостоятельно. Для Linux-версии доступна панель сборки, а примечания к выпускам написаны на упрощённом китайском. Набор обновляется, значит, за ним стоит команда сопровождения, а распространение идёт по коммерческой модели.
Последствия для пострадавших серьёзные. Скрытый доступ позволяет месяцами копировать документы, переписку и техническую документацию. Производственные компании рискуют остановить выпуск продукции, если злоумышленник нарушит работу внутренних систем. Для госструктур главная угроза - утечка служебных сведений и данных о сотрудниках. Заражение редко ограничивается одной машиной: оператор продвигается по сети, ищет хранилища данных и готовит вывод информации.
Обнаружить такую активность трудно. Программа не оставляет файлов на диске, а её трафик неотличим от обычного служебного обмена. Модульная структура позволяет добавлять новые функции без пересборки основного кода. Работа в памяти снижает ценность привычных антивирусных проверок, которые ищут вредоносные файлы на накопителях.
Риски для организаций региона сохраняются. Набор применим и против государственных ведомств, и против бизнеса, и против отдельных специалистов. Инструмент живёт почти десять лет и за это время менялся вместе с инфраструктурой атакующих. Остановить подобную активность помогает не разовая проверка, а постоянное наблюдение за сетью и конечными устройствами.
Практические меры просты. Внешние серверы на Linux стоит обновлять сразу после выхода исправлений, отказываться от простых паролей и включать двухфакторную аутентификацию. Полезно ограничивать исходящие подключения и проверять веб-каталоги на посторонние файлы. Стоит следить за необычной активностью в оперативной памяти и за процессами, которые не соответствуют установленному программному обеспечению.
Отдельного внимания требует управление исправлениями. Каждое обновление закрывает уязвимости, которыми пользуются операторы Noodle RAT для первичного доступа. Компаниям с филиалами в Азии имеет смысл пересмотреть права администраторов и сократить число серверов с прямым выходом в интернет. Регулярный аудит учётных записей и контроль доступа к внутренним ресурсам снижают ущерб даже при успешном проникновении.
Семейство оказалось удобным для самых разных заказчиков: государственных групп, криминальных объединений, посредников, которые перепродают доступ. Такая универсальность объясняет и долгий срок жизни, и постоянные обновления. Обе версии развиваются параллельно, что говорит о планомерной работе, а не о разовой кампании. Поводов считать Noodle RAT историей пока нет.
Индикаторы компрометации
