Исследователи из Cado Security Labs (ныне в составе Darktrace) идентифицировали новую вредоносную программу под названием Triton RAT, написанную на Python. Этот инструмент удаленного доступа с открытым исходным кодом, доступный на GitHub, позволяет злоумышленникам контролировать зараженные системы через мессенджер Telegram. Основной целью троянца являются учетные данные и сессионные куки пользователей игровой платформы Roblox.
Описание
Triton RAT обладает широким набором вредоносных функций. К ним относятся кейлоггинг, выполнение удаленных команд, кража сохраненных паролей, перехват файлов cookies безопасности Roblox, изменение обоев рабочего стола, запись экрана, доступ к веб-камере, сбор информации о Wi-Fi, загрузка и выгрузка файлов, выполнение shell-команд, а также анти-анализ и сбор системной информации. Все данные эксфильтрируются через Telegram-бота.
Особое внимание злоумышленники уделяют краже куки-файлов .ROBLOSECURITY из браузеров Opera, Chrome, Edge, Chromium, Firefox и Brave. Эти cookies содержат сессионные данные пользователя, что позволяет обойти двухфакторную аутентификацию и получить полный доступ к аккаунту Roblox. Функция sendmessage в коде троянца проходит по хранилищам паролей в директориях AppData, Google, Chrome, User Data, Local и Local State, расшифровывает их и сохраняет в текстовый файл для последующей передачи.
Для обеспечения устойчивости в системе Triton RAT создает VBScript и BAT-скрипт, которые выполняются через PowerShell. Скрипт updateagent.vbs отключает Защитник Windows, создает резервные копии и планировщике задач для постоянного присутствия, а также отслеживает определенные процессы. Скрипт check.bat загружает из DropBox бинарный файл ProtonDrive.exe - скомпилированную версию Triton RAT, которая сохраняется в скрытой папке и запускается с правами администратора. Для автоматического запуска создаются три задачи в Планировщике заданий Windows.
В целях противодействия анализу Triton RAT проверяет наличие процессов, связанных с отладчиками, такими как xdbg и ollydbg, инструментами анализа сети, например FakeNet, и антивирусными продуктами. Кроме того, тот же пользователь GitHub предлагает инструмент для изменения размера файла в качестве метода обхода защиты, поскольку некоторые антивирусы не проверяют файлы больше определенного размера.
Все собранные данные передаются через Telegram-бота, через которого злоумышленник также может отправлять команды на зараженную машину. На момент анализа в канале бота было 4549 сообщений, однако неизвестно, отражает ли это число реальное количество заражений.
Появление Triton RAT демонстрирует, как быстро киберпреступники адаптируют свои методы для атак на платформы с большой пользовательской базой, такие как Roblox. Механизмы устойчивости и использование Telegram для эксфильтрации данных делают эту угрозу особенно опасной и легко масштабируемой. Для противодействия подобным атакам организациям и частным пользователям необходимо усиливать защиту конечных точек и соблюдать строгие практики безопасности учетных данных.
Индикаторы компрометации
