Ewolucja ekosystemu AsyncRAT: analiza certyfikatów i infrastruktury

AsyncRAT został po raz pierwszy opublikowany na platformie GitHub w styczniu 2019 roku przez dewelopera posługującego się pseudonimem NYAN-x-CAT jako gruntownie zmodyfikowana wersja wcześniejszego projektu Quasar RAT. Udostępnienie kodu źródłowego zapoczątkowało rozwój licznych odmian tego złośliwego oprogramowania. Największą popularność zdobył DCRAT (DarkCrystal RAT), który stał się podstawą do powstania kolejnych wariantów, w tym VenomRAT. Z czasem ekosystem rozszerzył się o następne rodziny, takie jak LMTeamRAT, EchoRAT, BitRAT czy Alfa Red Fox. Dynamiczna ewolucja i rozgałęzianie kodu utrudniają zespołom bezpieczeństwa skuteczne wykrywanie zagrożeń, zmuszając je do ciągłego aktualizowania mechanizmów detekcji w odpowiedzi na pojawiające się modyfikacje.

Pomimo rozbudowanego ekosystemu wariantów, rodzina AsyncRAT zachowała wspólne cechy architektoniczne, które ułatwiają jej identyfikację. Analiza wykazała, że kolejne odmiany złośliwego oprogramowania często dziedziczą konfigurację certyfikatów TLS po wcześniejszych wersjach, wprowadzając jedynie niewielkie modyfikacje. Charakterystycznym wskaźnikiem okazał się wzorzec pól certyfikatu „O=<Name> By <author>, L=SH, C=CN”, po raz pierwszy zaobserwowany w DCRAT. W połączeniu z analizą usług działających na niestandardowych portach umożliwia on identyfikację infrastruktury Command & Control (C2), nawet jeśli dany wariant nie zawiera jednoznacznych identyfikatorów. Eksperci podkreślają, że metadane certyfikatów TLS stanowią cenne źródło informacji wykorzystywane w analizie infrastruktury zagrożeń, ponieważ wiele rodzin malware zachowuje charakterystyczne wzorce konfiguracji pomiędzy kolejnymi wersjami.

Skala wykorzystania poszczególnych wariantów tej rodziny złośliwego oprogramowania jest wyraźnie zróżnicowana. Z analiz Censys wynika, że największą aktywność odnotowano w przypadku bazowej wersji AsyncRAT, dla której zidentyfikowano około 49 hostów powiązanych z infrastrukturą Command & Control (C2). DCRAT wykorzystywany był na około 36 serwerach C2, natomiast Gh0stRAT – wywodzący się z tej samej linii rozwojowej – na ponad 20 hostach. Badanie wykazało również, że w metadanych certyfikatów TLS regularnie pojawiają się charakterystyczne identyfikatory twórców lub builderów, takie jak „qwqdanchun” czy „alexeikun”, co ułatwia analitykom identyfikację powiązań między infrastrukturą wykorzystywaną w różnych kampaniach.

Osobną kategorię stanowią wyspecjalizowane warianty, których infrastruktura jest znacznie mniej rozbudowana i często ogranicza się do pojedynczych hostów lub nie jest aktywna w momencie analizy. Do tej grupy należą m.in. LMTeamRAT, ElegyRAT, CyberSpike i JasonRAT. Ich wartość analityczna wynika przede wszystkim z charakterystycznych metadanych certyfikatów TLS, zawierających unikalne identyfikatory ułatwiające powiązanie poszczególnych wariantów z określoną linią rozwojową. Przykładowo certyfikat wykorzystywany przez LMTeamRAT wskazuje zarówno na jego powiązanie z rodziną VenomRAT, jak i na charakterystyczny identyfikator wykorzystywany przez twórcę lub builder. Monitorowanie nawet tak niewielkiej infrastruktury może dostarczyć cennych informacji o pojawianiu się nowych kampanii i przygotowaniach do kolejnych operacji prowadzonych przez cyberprzestępców.

Śledzenie zagrożeń wyłącznie na podstawie nazw poszczególnych wariantów złośliwego oprogramowania ma istotne ograniczenia. Unikalne nazwy, takie jak ArchosaurRAT czy ShiningForceRAT, pozwalają formułować precyzyjne zapytania i ograniczać liczbę wyników fałszywie pozytywnych. W przypadku bardziej ogólnych nazw sytuacja wygląda jednak inaczej. Przykładowo wyszukiwania związane z PhoenixRAT mogą zwracać wyniki dotyczące legalnych produktów firmy Phoenix Contact, natomiast PegasusRAT łatwo pomylić z informacjami dotyczącymi oprogramowania Pegasus opracowanego przez NSO Group. Dlatego skuteczna identyfikacja infrastruktury wymaga analizy bardziej wiarygodnych wskaźników, takich jak metadane certyfikatów TLS, charakterystyczne elementy paneli administracyjnych czy inne artefakty techniczne, a nie wyłącznie zgodności nazwy.

Ewolucja ekosystemu AsyncRAT pokazuje, że skuteczne wykrywanie zagrożeń wymaga odejścia od analizy opartej wyłącznie na sygnaturach plików na rzecz identyfikowania wspólnych cech infrastruktury i konfiguracji wykorzystywanej przez cyberprzestępców. Choć kolejne warianty złośliwego oprogramowania będą nadal powstawać, powtarzalne wzorce w konfiguracji certyfikatów TLS oraz innych elementach infrastruktury pozostają cennym źródłem informacji dla zespołów Threat Intelligence. Wykorzystanie tych danych pozwala skuteczniej identyfikować i monitorować infrastrukturę Command & Control (C2) wykorzystywaną w nowych kampaniach.

iIT Distribution, jako Value Added Distributor (VAD) rozwiązań z zakresu cyberbezpieczeństwa, wspiera partnerów i klientów w projektowaniu oraz wdrażaniu nowoczesnych systemów Threat Intelligence i ochrony infrastruktury IT. Eksperci iITD zapewniają kompleksowe doradztwo techniczne, wsparcie projektowe oraz pomoc we wdrażaniu zaawansowanych rozwiązań światowych producentów. Dzięki temu organizacje mogą skuteczniej identyfikować nowe zagrożenia, monitorować infrastrukturę przeciwnika i wzmacniać odporność swoich środowisk IT.