CetaRAT pertama kali terlihat dalam Operasi SideCopy APT. Kini, CetaRAT terus memperluas aktivitasnya. Kami telah lama memantau RAT ini dan mengamati peningkatan penargetan lembaga pemerintah India.
Rantai infeksi CetaRAT dimulai dengan email spear phishing yang berisi lampiran email berbahaya. Lampiran tersebut dapat berupa file zip yang mengunduh file HTA dari URL jarak jauh yang telah disusupi. Setelah file HTA ini dieksekusi menggunakan mshta.exe, file tersebut akan mengunduh dan mengeksekusi payload CetaRAT yang memulai aktivitas CnC.
Setelah eksekusi file HTA, kami mengamati dua perilaku berbeda:
Pada metode pertama, berkas JavaScript dibuat dan dieksekusi di lokasi "C:\\ProgramData". Kode skrip membuka dokumen umpan, yang terkait dengan topik dan notifikasi pemerintah. Pada saat yang sama, muatan eksekusi CetaRAT dijatuhkan di lokasi Startup, sehingga operasi skrip dapat dihentikan sementara untuk sementara waktu dan kemudian memulai ulang mesin.
Metode kedua yang diamati adalah pembuatan dan menjalankan berkas batch di folder dengan nama acak di drive C pada komputer korban. Berkas tersebut berisi instruksi untuk menambahkan entri registri di "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" dengan jalur muatan eksekusi CetaRAT. Dalam varian ini, berkas eksekusi tersebut dihapus di lokasi %AppData/Roaming%.
CetaRAT adalah keluarga RAT berbasis C# yang mengekstrak data dari pengguna dan mengirimkannya ke server CnC. Setelah dijalankan, pertama-tama ia akan memeriksa detail produk AV yang sedang berjalan dari mesin dengan fungsi Getans() dan mengirimkan detailnya ke server CnC.
Fungsi Start() menggunakan detail dari mesin seperti nama komputer, detail OS, alamat IP, detail memori, prosesor yang sedang berjalan, dll., dan mengunggahnya ke Server CnC. Data ini dienkripsi sebelum diunggah ke CnC.
Dalam aktivitas RAT ini, fungsi GetIP() digunakan untuk mendapatkan informasi IP mesin yang sedang berjalan. Domain "checkip.dydnd.org" digunakan untuk tujuan ini. Fungsi ini mengembalikan alamat IP mesin.
Pada aktivitas berikutnya, RAT menggunakan perintah untuk mengekstrak data dan untuk operasi file, berikut adalah detail perintahnya-
- Unduh - gunakan data unduhan
- Unggah- Unggah data ke server CnC.
- Downloadexe- digunakan untuk mengunduh dan kemudian mengeksekusi file.
- Dibuat- untuk membuat direktori pada sistem.
- Rename- digunakan untuk mengganti nama file
- Hapus - digunakan untuk menghapus file atau data.
- Layar- ambil tangkapan layar sistem
- Run- digunakan untuk menjalankan kode.
- Shellexe- digunakan untuk mengeksekusi muatan
- Proses- informasi teknik.
- Pkill- Untuk mematikan proses yang sedang berjalan.
- Daftar- daftar proses.
Setelah mengumpulkan informasi dari mesin pengguna, CetaRAT menggunakan algoritma RC4 untuk enkripsi data sebelum diunggah ke server CnC.
Setelah data dienkripsi, data tersebut akan dieksfiltrasi ke server CnC menggunakan metode POST HTTP. Kita dapat melihat tiga IP server CnC yang disebutkan dalam kode di bawah ini, dengan kata kunci "ceta".
IOC-> (MD5)
Berkas HTA-
- 9DEF22BE73D2713600B689F3074F3841
- 849CA729063AAAD53BC743A7D476C63E
- 0BA023D0CD30E77001A78B4CBA017ADE
Muatan CetaRAT-
- 532ACBADB8151944650AAECC0A397965
- 0058B40AEA4B981E0FC619250FC64EA3
- 04213947D30FC4205A0C4D0674A27151
Muatan JS/Batch-
- 4B85ADE5E9790BDC63B80AD8EF853D40
- 6F0672BBD0700AC61D1EDF201C4CABFF
- 6DC67068A93E05A35E90CF066F33B79E
Dokumen umpan-
- 5AA26DCD3CA84DB8963688BE491E8ABE
- F509CF7605566EE74DE5AABF7FEF3C61
IP-
- 207.180.230.63
- 164.68.104.126
- 164.68.108.22
Kesimpulan
CetaRAT adalah program pengekstraksi data yang hanya menyediakan mekanisme dan menginfeksi korban secara agresif. CetaRAT dapat membocorkan data sensitif dari lembaga pemerintah, yang berdampak pada aktivitas berbahaya di negara tersebut. Kami menyarankan pelanggan kami untuk tidak mengakses email/lampiran yang mencurigakan dan selalu memperbarui perangkat lunak antivirus mereka untuk melindungi sistem mereka dari malware kompleks tersebut.
