Компания Hunt.io опубликовала отчет, в котором подробно описано, как троян Running remote access trojan (RAT), традиционно используемый для кражи информации и получения удаленного доступа, был замечен в развертывании полезной нагрузки для крипто-майнинга.
RunningRAT Malware
Изначально RunningRAT был замечен в атаках, направленных на зимние Олимпийские игры в Пхенчхане, и традиционно позволял злоумышленникам контролировать системы, отключать антивирусное ПО и передавать данные на командно-контрольные (C2) серверы. Однако последние анализы показывают, что RunningRAT теперь используется и для получения финансовой выгоды путем майнинга криптовалюты, о чем свидетельствует обнаружение на его серверах скриптов для майнинга криптовалют.
Новый вариант RunningRAT загружает и устанавливает программное обеспечение для майнинга Monero (XMRig), используя открытые каталоги и скрипты для перехвата системных ресурсов, таких как мощность процессора, для майнинговых операций. Он также проверяет аппаратные возможности скомпрометированных систем, чтобы определить их пригодность для майнинга. Вредоносная программа сохраняет свою жизнеспособность, внедряясь в систему под видом легитимной службы Windows, что делает ее обнаружение более сложным для пользователей.
По мнению Hunt.io, наличие образцов RunningRAT в доступных онлайн-репозиториях, а также эволюция его тактики указывают на то, что вредоносная программа активно адаптируется и перепрофилируется для различных целей. Этот переход является примером того, как устоявшееся вредоносное ПО может постоянно развиваться, представляя постоянный риск для пользователей и подчеркивая важность сохранения бдительности в отношении новых возможностей знакомых угроз.
Indicators of Compromise
SHA256
- 11bd2c9f9e2397c9a16e0990e4ed2cf0679498fe0fd418a3dfdac60b5c160ee5
- 175d861d8f1337df6a0aafb845c2b7967d0c1ecd8c230e345d75d557440f15e5
- 27a823c06e68b5f32c2331ef89de4f1de1773f39449a3509b3f397c3c4376cad
- 54409f5edb22b2c84de1ff5e6a76dd4b34d5acde60a0777f16251ccf4849929f
- b10884a495070c2f9ee183bbbb6d1b8f7351fc75d094f4bb212c38c859a6e867
- b69bf007797fdfecc90c5511dde776dc6c18c48cddec2804753533dbee4af80d
- c55a1c1e2d0623fd7c5b2224e2e5a7b6f053f997080fb4f3d37a37d1b9ce807a
- e8d595834bb500f0bb3ad688fe7307e3a182229f3ef16a16549c9797cf1d8985
