Trojan dający zdalny dostęp (RAT) to rodzaj złośliwego oprogramowania, które pozwala nieautoryzowanym osobom na zdalne przejęcie kontroli nad komputerem lub urządzeniem ofiary. RATy są zwykle rozpowszechniane przez techniki inżynierii społecznej, takie jak phishingowe e-maile lub zainfekowane pobieranie plików. Po zainstalowaniu RATy dają atakującemu pełny dostęp do urządzenia ofiary, umożliwiając im wykonanie różnych złośliwych działań, takich jak szpiegowanie, kradzież danych, zdalny nadzór, a nawet przejęcie kontroli nad kamerą internetową i mikrofonem ofiary.
Rośnie trend RATów zaobserwowany w Q2/2023 kontynuuje się w Q3/2023. Ogólnie rzecz biorąc, zaobserwowaliśmy niewielki wzrost wskaźnika ryzyka. Znaczny wzrost Remcosa, o którym informowaliśmy w Q1 i Q2/2023, wydaje się zwalniać, z Remcosem utrzymującym się na tych samych poziomach co w poprzednim kwartale. Jednak obserwujemy stały wzrost droppera DBatLoader, który może dostarczać Remcosa wśród innych ładunków.
Globalny wskaźnik ryzyka w bazie użytkowników Avast dotyczący RATów w Q3/2023
Kraje o najwyższym wskaźniku ryzyka dotyczącym RATów to, jak zwykle, Afganistan, Irak i Jemen ze względu na zachowanie podobne do robaka HWorm, który wydaje się być szeroko rozpowszechniony w tych krajach. Dodatkowo, również widzimy, że njRAT jest dość aktywny w Iraku i Jemenie. Kraje z największym wzrostem wskaźnika ryzyka to Portugalia (wzrost o 148%), Polska (55%) i Słowacja (43%) spowodowane przez Remcosa i w przypadku Słowacji również przez Warzone. Największy spadek wskaźnika ryzyka zaobserwowano w Czechach (spadek o 42%), Belgii (34%) i Japonii (33%). Prawdopodobnie jest to związane z aktywnością (lub na chwilę obecną brakiem) Remcosa i Warzone w tych krajach.
Mapa pokazująca globalny wskaźnik ryzyka dla RATów w Q3/2023
Największy wzrost udziału rynkowego i liczby chronionych użytkowników wśród najbardziej rozpowszechnionych RATów w Q3/2023 należy do NanoCore. Oba te liczby wzrosły o prawie 100%. Grecja, Turcja i Węgry są najbardziej narażone na tego RATa, zaobserwowaliśmy również znaczący wzrost w Brazylii, Meksyku i Hiszpanii.
Jeszcze większy wzrost miał XWorm, który zyskał ponad 400%. Jednak w liczbach absolutnych, XWorm nie jest tak szeroko rozpowszechniony, aby znaleźć się w pierwszej dziesiątce.
Warzone i AsyncRat miały największy spadek wskaźnika ryzyka wśród najbardziej rozpowszechnionych RATów, które obserwujemy. Warzone spadł o 27%, a AsyncRat o 14% według naszych danych.
Najbardziej rozpowszechnione szczepy trojanów dających zdalny dostęp w naszej bazie użytkowników to:
- HWorm
- Remcos
- njRAT
- AsyncRat
- Warzone
- NanoCore
- QuasarRAT
- Gh0stCringe
- DarkComet
- Bifrost
Zespół ds. Badań Zagrożeń Uptycs odkrył nowego RATa o nazwie QwixxRAT, który zauważono po raz pierwszy na początku sierpnia. QwixxRAT ma dość standardowy zestaw funkcji, w tym keylogging, kradzież informacji (dane kart kredytowych, historia i zakładki przeglądarki, dane związane ze Steam, itp.), szpiegowanie (kamera internetowa, mikrofon), wykonywanie poleceń na zainfekowanym systemie i więcej. Używa Telegrama jako kanału C&C.
ZenRAT to kolejny RAT, który pojawił się w Q3/2023, zgłoszony przez Proofpoint Emerging Threats. Ten RAT został znaleziony w pakiecie z legalnym menedżerem haseł Bitwarden na stronie bitwariden[.]com. Według badań, ZenRAT jest zaprojektowany do bycia modularnym, jednak według Proofpoint widzieli tylko jeden moduł, który wydaje się zbierać informacje o systemie.
Ondřej Mokoš, Badacz Malware
