Троян gh0st RAT распространяется через соцсети и видеоролики: новые схемы атак

Что такое gh0st RAT? Это вредоносное ПО, которое скрытно внедряется в систему и устанавливает связь с командным сервером. После этого атакующий получает практически неограниченный контроль: может просматривать и копировать файлы, перехватывать вводимые пароли, включать микрофон и веб-камеру, а также использовать компьютер для дальнейших атак. Троян маскируется под стандартные системные процессы, поэтому антивирусные программы не всегда могут его обнаружить. Более того, gh0st RAT активно противодействует анализу: он проверяет, не запущена ли система в изолированной среде, и пытается обойти средства защиты. Все это делает его серьезным инструментом в руках киберпреступников.

Способы доставки вредоносного ПО разнообразны. Как отмечается в материалах исследователей, чаще всего заражение начинается с фишинговых писем, которые рассылаются массово по случайным адресам. Такие письма содержат вложенные документы, при открытии которых на компьютер загружается троян. Дополнительно злоумышленники активно используют социальные сети. Через личные сообщения в Twitter и Instagram* жертве отправляют ссылку либо файл, который запускает процесс заражения. Особенно уязвимыми оказываются люди творческих профессий - 3D-дизайнеры, стримеры, видеомонтажеры, а также финансовые советники. По данным аналитиков, пик атак приходится на пользователей из Северной Америки и Европы, хотя география постепенно расширяется.

Еще один канал распространения - видеохостинг YouTube. Киберпреступники публикуют ролики, в которых предлагают скачать "бота" для автоматической покупки NFT-боксов на бирже Binance. Жертва, желающая получить выгоду, переходит по ссылке из описания и загружает исполняемый файл. На самом деле это установщик gh0st RAT. Аналогичная схема работает через Discord-серверы. Пользователю предлагают присоединиться к сообществу, где нужно скачать некий инструмент, например для модерации или улучшения игрового процесса. После запуска такого файла троян загружается в память компьютера и начинает свою работу. Таким образом, атакующие используют доверие людей к популярным интернет-платформам.

Архитектура gh0st RAT продумана до мелочей. Вредоносное ПО состоит из двух основных компонентов: клиентской части, которую используют операторы, и серверной части, которая устанавливается на машину жертвы. Клиентская программа работает на Windows и предоставляет атакующему панель управления. С ее помощью можно создавать пользовательские пакеты установки с индивидуальными настройками - например, указывать конкретный сервер для связи или задавать период активности. Серверная часть, в свою очередь, оформлена в виде библиотеки, которая регистрируется в системе как служба. Это позволяет ей автоматически запускаться при старте операционной системы и работать в фоновом режиме.

Для установки сервера используется отдельная программа-установщик. Она подготавливает систему, копирует необходимые файлы и создает службу. Важная особенность gh0st RAT - наличие низкоуровневого драйвера, который загружается при запуске и сбрасывает некоторые механизмы защиты операционной системы. Это позволяет трояну избегать перехвата его действий антивирусными продуктами. В совокупности такая конструкция обеспечивает высокую живучесть вредоносного ПО: даже если часть компонентов будет удалена, оставшиеся смогут восстановить полную функциональность.

Воздействие gh0st RAT выходит далеко за рамки простого наблюдения. Троян собирает большой объем конфиденциальных данных. В первую очередь интерес для злоумышленников представляют браузеры: оттуда извлекаются сохраненные логины и пароли, история автозаполнения форм, номера банковских карт. Кроме того, троян получает информацию об операционной системе и оборудовании: имя пользователя, местоположение, характеристики процессора и объем памяти, перечень установленных программ. Эти сведения используются для таргетирования дальнейших атак или продаются в даркнете. В новых версиях вредоносного ПО появились функции кражи криптовалютных кошельков, а также данных из FTP-клиентов и мессенджеров.

Для бизнеса заражение gh0st RAT может обернуться утечкой коммерческой тайны, потерей клиентской базы и прямыми финансовыми убытками. Атакующие могут использовать доступ к корпоративной сети для бокового перемещения и захвата более ценных систем. В ряде случаев троян применяется для скрытого сбора паролей от корпоративных порталов и облачных хранилищ. Поэтому компаниям необходимо выстраивать защиту с учетом подобных угроз.

Современные системы управления уязвимостями помогают сократить риски. Например, платформа Check Point Exposure Management объединяет данные об угрозах, функции приоритизации и инструменты безопасного реагирования. Она позволяет специалистам быстро выявлять слабые места, проверять, могут ли они быть использованы на практике, и оперативно их устранять. Благодаря единому интерфейсу команды безопасности могут одновременно видеть общую картину и работать над устранением конкретных проблем. Это существенно ускоряет реакцию на инциденты.

Каждой организации и частному пользователю стоит придерживаться базовых мер предосторожности. Не следует открывать вложения в письмах от неизвестных отправителей, даже если они выглядят безобидно. С осторожностью нужно относиться к файлам и ссылкам, полученным через социальные сети или мессенджеры. Регулярное обновление операционной системы и приложений закрывает известные уязвимости, через которые может проникнуть троян. Использование двухфакторной аутентификации существенно затрудняет доступ злоумышленников к важным учетным записям. Также полезно периодически проверять запущенные службы и автозагрузку на предмет подозрительных программ. Эти несложные правила позволят избежать большинства угроз, связанных с активностью gh0st RAT.

* Компания Meta и её продукты (включая Instagram, Facebook, Threads, Meta AI) признаны экстремистскими, их деятельность запрещена на территории РФ.