گزارش‌های اخیر در مورد فعالیت‌های تروجان دسترسی از راه دور (RAT) موسوم به SectopRAT نشان می‌دهد که سازمان‌ها باید به جای اعتماد کورکورانه به نرم‌افزارها، بر تحلیل رفتار (Behavioral Analysis) آن‌ها تمرکز کنند.
جزئیات مکانیسم حمله
پژوهشگران نسخه‌ای از بدافزار SectopRAT را شناسایی کرده‌اند که در قالب یک نرم‌افزار معتبر متعلق به یک شرکت ایتالیایی فعال در حوزه صوتی-دیجیتال پنهان شده بود. بر اساس تحلیل‌های شرکت Fortinet، مهاجمان به جای نفوذ به زنجیره تأمین (Supply Chain) یا سازنده نرم‌افزار، پس از نصب برنامه روی سیستم قربانی، اقدام به تزریق بدافزار کرده‌اند.
در این عملیات، عامل تهدید با دستکاری فایل FrameworkBase.dll، بدافزار را به صورت مخفیانه بارگذاری کرده است. این تاکتیک اجازه می‌دهد تا بدافزار از اعتمادی که سازمان‌ها به برنامه‌های کاربردی رایج دارند سوءاستفاده کرده و از دید سیستم‌های امنیتی پنهان بماند.
ویژگی‌های فنی SectopRAT
این بدافزار که با نام ArechClient2 نیز شناخته می‌شود، یک بدافزار مبتنی بر .NET با سطح Obfuscation بالا است که قابلیت‌های زیر را ارائه می‌دهد:
- سرقت اطلاعات (Infostealer): استخراج اعتبارنامه‌های مرورگر (Credentials)، کوکی‌ها، فایل‌های حساس و داده‌های کیف پول‌های ارز دیجیتال.
- کنترل از راه دور: امکان اجرای دستورات، مشاهده صفحه نمایش قربانی، مدیریت فایل‌ها و فرآیندها و ری‌استارت کردن سیستم.
- پنهان‌سازی: قابلیت حذف اجزای مخرب پس از عملیات برای پاکسازی ردپای حمله.
تغییرات در نسخه‌های جدید
تفاوت اصلی این نسخه با نسخه‌های پیشین در نحوه ارتباطات شبکه است. در حالی که نسخه‌های قبلی با ترافیک رمزنگاری‌نشده شروع کرده و سپس به حالت رمزنگاری تغییر وضعیت می‌دادند، نسخه جدید از ابتدا تمامی ترافیک خود را با استفاده از الگوریتم AES رمزنگاری می‌کند تا شناسایی آن توسط سیستم‌های IDS/IPS دشوارتر شود.
توصیه‌های امنیتی برای مدیران SOC و CISO
کارشناسان تأکید می‌کنند که تمرکز تیم‌های امنیتی نباید تنها بر «معتبر بودن» یا «نام» یک اپلیکیشن باشد، بلکه باید بر رفتار نرم‌افزار متمرکز شوند. دسترسی‌های اعطایی بر اساس شهرت (Reputation) می‌تواند توسط مهاجمان قرض گرفته شود؛ بنابراین نرم‌افزارهای موجود در Endpoints باید بر اساس آنچه انجام می‌دهند و دسترسی‌هایی که درخواست می‌کنند، مورد ارزیابی قرار گیرند، نه صرفاً بر اساس نام شناخته شده آن‌ها.
