CetaRAT is vir die eerste keer gesien in Operasie SideCopy APT. Sedertdien brei dit voortdurend sy aktiwiteit uit. Ons volg hierdie RAT al lank en het 'n toename in die teikenstelling van die Indiese regeringsagentskappe waargeneem.
Die CetaRAT-infeksieketting begin met 'n Spear phishing- e-pos met 'n kwaadwillige e-posaanhangsel. Die aanhangsel kan 'n zip-lêer wees wat 'n HTA-lêer aflaai vanaf 'n afgeleë, gekompromitteerde URL. Sodra hierdie HTA-lêer met mshta.exe uitgevoer word, word die CetaRAT-vrag afgelaai en uitgevoer wat die CnC-aktiwiteit begin.
Na die uitvoering van die HTA-lêer het ons twee verskillende gedrag waargeneem:
In die eerste metode skep en voer dit die JavaScript-lêer uit by die "C:\\ProgramData"-ligging. Die skripkode maak die lokmiddeldokument oop, wat verband hou met regeringsonderwerpe en kennisgewings. Terselfdertyd word die CetaRAT-uitvoerbare vrag by die opstartligging laat val en die skripbewerking kan vir 'n geruime tyd slaap en die masjien herbegin.
Die tweede metode wat waargeneem is, is die skep en uitvoer van bondellêers in 'n willekeurige naammap op die C-skyf op die slagoffer se masjien, wat die instruksies bevat om 'n registerinskrywing by "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" by te voeg met die pad van die CetaRAT-uitvoerbare lêer. In hierdie variant word die uitvoerbare lêer by die %AppData/Roaming%-ligging gestoor.
Die CetaRAT is 'n C#-gebaseerde RAT-familie wat die data van die gebruiker onttrek en na die CnC-bediener stuur. Sodra dit uitgevoer is, sal dit eers die lopende AV-produkbesonderhede van die masjien met die funksie Getans() nagaan en besonderhede na die CnC-bediener stuur.
Die funksie Start() gebruik die verkryging van besonderhede van masjiene soos rekenaarnaam, OS-besonderhede, IP-adres, geheuebesonderhede, lopende verwerker, ens., en laai dit op na die CnC-bediener. Hierdie data word geïnkripteer voordat dit na CnC opgelaai word.
In hierdie RAT-aktiwiteit word die GetIP()-funksie gebruik om die lopende masjien se IP-inligting te kry. Hier word domein "checkip.dydnd.org" vir hierdie doel gebruik. Hierdie funksie gee die masjien se IP-adres terug.
In die volgende aktiwiteit gebruik die RAT bevele om die data te eksfiltreer en vir lêerbewerkings, hieronder is die besonderhede van die bevele-
- Laai af - gebruik aflaaidata
- Oplaai - Laai die data na die CnC-bediener op.
- Downloadexe - dit word gebruik vir die aflaai en dan uitvoering van die lêer.
- Geskep - vir die skep van die gids op die stelsel.
- Hernoem - gebruik vir die hernoem van lêers
- Verwyder - gebruik om lêers of data te verwyder.
- Skerm - neem 'n skermkiekie van die stelsel
- Run - word gebruik om die kode uit te voer.
- Shellexe - word gebruik vir die uitvoering van die vrag
- Prosesinligting van tegnieke.
- Pkill - Om die lopende proses dood te maak.
- Lys - lys van prosesse.
Nadat inligting van die gebruiker se masjien ingesamel is, gebruik CetaRAT die RC4-algoritme vir die enkripsie van data voordat dit na die CnC-bediener opgelaai word.
Sodra die data geïnkripteer is, sal dit na die CnC-bediener oorgedra word met behulp van die POST HTTP-metode. Ons kan drie CnC-bediener-IP's in die kode hieronder sien, met die sleutelwoord "ceta".
IOK-> (MD5)
HTA-lêer-
- 9DEF22BE73D2713600B689F3074F3841
- 849CA729063AAAD53BC743A7D476C63E
- 0BA023D0CD30E77001A78B4CBA017ADE
CetaRAT-vrag-
- 532ACBADB8151944650AAECC0A397965
- 0058B40AEA4B981E0FC619250FC64EA3
- 04213947D30FC4205A0C4D0674A27151
JS/Bondelvrag-
- 4B85ADE5E9790BDC63B80AD8EF853D40
- 6F0672BBD0700AC61D1EDF201C4CABFF
- 6DC67068A93E05A35E90CF066F33B79E
Lokmiddel dokumente-
- 5AA26DCD3CA84DB8963688BE491E8ABE
- F509CF7605566EE74DE5AABF7FEF3C61
IP's-
- 207.180.230.63
- 164.68.104.126
- 164.68.108.22
Gevolgtrekking
CetaRAT is 'n eksfiltrerende data-meganisme wat bloot meganismes aflewer en die slagoffer aggressief besmet. Dit kan sensitiewe data van 'n regeringsorganisasie lek, wat skadelike aktiwiteite in die lande beïnvloed. Ons beveel ons kliënte aan om nie toegang tot verdagte e-posse/aanhangsels te verkry nie en hul antivirus-sagteware op datum te hou om hul stelsels teen sulke komplekse wanware te beskerm.
