CetaRAT wurde erstmals im Rahmen der Operation SideCopy APT entdeckt. Seitdem weitet es seine Aktivitäten kontinuierlich aus. Wir verfolgen dieses RAT schon seit langem und beobachten eine zunehmende Angriffswelle auf indische Regierungsbehörden.
Die CetaRAT-Infektionskette beginnt mit einer Spear-Phishing- E-Mail, die einen schädlichen Anhang enthält. Dieser Anhang kann eine ZIP-Datei sein, die eine HTA-Datei von einer kompromittierten, entfernten URL herunterlädt. Sobald diese HTA-Datei mit mshta.exe ausgeführt wird, entlädt und startet sie die CetaRAT-Payload, die die Command-and-Control-Aktivität (CnC) in Gang setzt.
Nach der Ausführung der HTA-Datei haben wir zwei unterschiedliche Verhaltensweisen beobachtet:
Bei der ersten Methode wird die JavaScript-Datei unter „C:\\ProgramData“ erstellt und ausgeführt. Der Skriptcode öffnet das Lockvogeldokument, das sich auf Regierungsthemen und -benachrichtigungen bezieht. Gleichzeitig wird die ausführbare Nutzlast von CetaRAT am Startort abgelegt, und das Skript kann für eine gewisse Zeit ruhen und den Computer neu starten.
Die zweite beobachtete Methode besteht darin, Batchdateien in einem zufällig benannten Ordner auf Laufwerk C des Opfers zu erstellen und auszuführen. Diese enthalten Anweisungen zum Hinzufügen eines Registrierungseintrags unter „HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run“ mit dem Pfad der ausführbaren CetaRAT-Nutzlast. In dieser Variante wird die ausführbare Datei am Speicherort %AppData/Roaming% abgelegt.
CetaRAT ist eine C#-basierte RAT-Familie, die Benutzerdaten extrahiert und an den CnC-Server sendet. Nach der Ausführung prüft CetaRAT zunächst die Produktdetails des laufenden Antivirus auf dem Computer mit der Funktion Getans() und sendet die Details an den CnC-Server.
Die Funktion Start() ruft Daten von Maschinen wie Computername, Betriebssystem, IP-Adresse, Speicher, Prozessor usw. ab und lädt sie auf den CnC-Server hoch. Diese Daten werden vor dem Hochladen auf CnC verschlüsselt.
In dieser RAT-Aktivität wird die Funktion GetIP() verwendet, um die IP-Informationen des laufenden Computers abzurufen. Hier wird hierfür die Domäne „checkip.dydnd.org“ verwendet. Diese Funktion gibt die IP-Adresse des Computers zurück.
In der nächsten Aktivität verwendet das RAT Befehle zum Exfiltrieren der Daten und für Dateivorgänge. Nachfolgend finden Sie Befehlsdetails:
- Herunterladen – Downloaddaten verwenden
- Hochladen – Laden Sie die Daten auf den CNC-Server hoch.
- Downloadexe – wird zum Herunterladen und anschließenden Ausführen der Datei verwendet.
- Erstellt – zum Erstellen des Verzeichnisses auf dem System.
- Umbenennen – zum Umbenennen von Dateien verwenden
- Löschen – zum Löschen von Dateien oder Daten verwenden.
- Bildschirm – Machen Sie einen Screenshot des Systems
- Ausführen – wird zum Ausführen des Codes verwendet.
- Shellexe – wird zum Ausführen der Nutzlast verwendet
- Prozess-Informationen zu Techniken.
- Pkill – Um den laufenden Prozess zu beenden.
- Liste – Liste der Prozesse.
Nachdem CetaRAT Informationen vom Computer des Benutzers gesammelt hat, verwendet es den RC4-Algorithmus zur Verschlüsselung der Daten, bevor diese auf den CnC-Server hochgeladen werden.
Sobald die Daten verschlüsselt sind, werden sie mithilfe der POST-HTTP-Methode auf den CnC-Server übertragen. Im folgenden Code sind drei CnC-Server-IPs mit dem Schlüsselwort „ceta“ aufgeführt.
IOC-> (MD5)
HTA-Datei-
- 9DEF22BE73D2713600B689F3074F3841
- 849CA729063AAAD53BC743A7D476C63E
- 0BA023D0CD30E77001A78B4CBA017ADE
CetaRAT-Nutzlast-
- 532ACBADB8151944650AAECC0A397965
- 0058B40AEA4B981E0FC619250FC64EA3
- 04213947D30FC4205A0C4D0674A27151
JS/Batch-Nutzlast-
- 4B85ADE5E9790BDC63B80AD8EF853D40
- 6F0672BBD0700AC61D1EDF201C4CABFF
- 6DC67068A93E05A35E90CF066F33B79E
Lockvogeldokumente-
- 5AA26DCD3CA84DB8963688BE491E8ABE
- F509CF7605566EE74DE5AABF7FEF3C61
IPs-
- 207.180.230.63
- 164.68.104.126
- 164.68.108.22
Fazit
CetaRAT exfiltriert Daten, die einfach Mechanismen bereitstellen und das Opfer aggressiv infizieren. Dadurch können sensible Daten einer Regierungsorganisation verloren gehen, was schädliche Aktivitäten in den Ländern zur Folge hat. Wir empfehlen unseren Kunden, nicht auf verdächtige E-Mails/Anhänge zuzugreifen und ihre AV-Software auf dem neuesten Stand zu halten, um ihre Systeme vor solch komplexer Malware zu schützen.
