AsyncRat Loader

نرم‌افزار AsyncRat یک ابزار منبع ‌باز دسترسی از راه دور است که در سال ۲۰۱۹ منتشر شده و کد منبع آن هنوز در گیت‌هاب موجود است. این ابزار می‌تواند به‌عنوان یک بدافزار تروجان از راه دور مورداستفاده قرار بگیرد؛ چون دسترسی به آن و استفاده از آن در گیت به‌صورت رایگان فراهم شده است. به همین دلیل است که از AsyncRat به‌عنوان یکی از شایع‌ترین RAT ها نامبرده می‌شود. عناصر مشخصه آن شامل: انجام عملیات Keylogging ، تکنیک‌های خروج اطلاعات، و یا ایجاد دسترسی اولیه برای پیلود نهایی می‌باشد.

از همان ابتدا که این RAT منتشر شد، در کمپین‌های مختلف مورداستفاده قرار گرفت و ازآنجایی‌که طبیعت آن منبع‌باز است، تغییرات زیادی نیز در هر نسخه آن اعمال شده است.

در اوایل سپتامبر شاهد افزایش ایمیل‌های فیشینگ بوده‌ایم که هدف این ایمیل‌ها اغلب افرادی خاص بودند که در شرکت‌های مهمی کار می کردند. در محتوای این ایمیل‌ها یک فایل پیوست gif وجود داشته که به یک فایل svg مربوط می‌شده و در ادامه به دانلود یک فایل Javascript با درصد ابهام بالا (کد مخرب در آن به شکل فوق‌العاده‌ای مبهم‌سازی و غیرقابل‌شناسایی شده است.)، منجر می‌شود. با دانلود این فایل اسکریپت‌های مبهم Powershell و در نهایت کلاینت AsyncRat اجرا می‌شود. این مورد توسط چند نفر از کاربران توییتر (X) گزارش شده است. یک سری از الگوهای قابل‌مشاهده در کد باعث شد متوجه شویم که نمونه‌های موجود به ماه February سال ۲۰۲۳ مربوط می‌شود. همچنان ثبت دامنه‌ها و نمونه‌های AsyncRat در زمان نوشتن این مقاله قابل‌مشاهده است.

شیوه عمل برنامه Loader شامل چندین مرحله است که مبهم‌سازی در آنها توسط Command and Control ادامه داشته است. سرور C&C بررسی می‌کند که سیستم قربانی یک Sandbox است یا خیر. در غیر این صورت پیلود اصلی AsyncRat را پیاده‌سازی می‌کند. زمانی که سرور C&C به پارامترهای ارسالی یا دامنه اطمینان ندارد، (بدین معنی که پارامترها توسط تیم امنیت در حال تست یا دست‌کاری باشند) درخواست‌ها را به یک صفحه بی‌خطر مثل گوگل منتقل می‌کند.

ساختار شبکه این بدافزار برای ارتباطات و دانلود پیلود اصلی به سیستم قربانی به این شکل کار می‌کند که با یک الگوریتم ساخت نام دامنه DGA (Domain Name Generator) و TLD به اسم Top دامنه‌های رندوم ایجاد و بر روی سرور تنظیم می‌کند. الگوریتم آن بر اساس ساختار روز و سال یک‌رشته از عبارات را به شکل رندوم ایجاد می‌کند و تغییراتی در آن ایجاد می‌کند. این عمل بعد از هر ۷ روز انجام می‌شود. به‌عنوان نمونه دو دامنه زیر طی ۱۴ روز طبق تاریخ مورداستفاده این بدافزار بوده است:

23-17December: hlbibfkimfelcja [.]top

30-24December: dfmnkgnidkadgcd [.]top

در نتیجه کمپین معرفی شده نشان می‌دهد که عوامل تهدید برای آلوده‌سازی سیستم و درعین‌حال مخفی ماندن فعالیت خود چقدر مصمم و قاطع هستند.

راه هایی برای کاهش این خطر پذیری

عدم کلیک بروی لینک‌های ناشناس و ایمیل‌های مشکوک
آپدیت نگه‌داشتن سیستم‌ها و پچ آسیب‌پذیری
پیاده سازی کنترل های امنیتی برای مدیریت و اجرا شدن برنامه ها

روش های تشخیص این حمله

در صورت استفاده از سیستم شناسایی و پاسخ در نقاط پایانی هوپان (EDR) که یکی از اساسی ترین ماژول های راهکار گسترده شناسایی و پاسخ نخجیرپان (XDR) می‌باشد، تحلیل فعالیت های مرتبط و هشدارهای زیر مشاهده می گردد:
مشاهده و جلوگیری از ایجاد دسترسی اولیه از راه دور
جلوگیری از اجرای پیلود اولیه
مشاهده فعالیت مشکوک و واکنش سریع به آن

این تهدید از تکنیک های زیر که در جدول مایتر اتک موجود می باشد استفاده نموده است.

شرکت مهندسی امن ارتباط سینداد کلیه IOA و IOC های مرتبط با تشخیص این حمله را به سامانه های خود افزوده است.

Initial Access	Execution	Defense Evasion	Impact	Command and control
Drive-by Compromise	AppleScript	Access Token Manipulation	Account Access Removal	application layer protocol
Exploit Public-Facing Application	CMSTP	Binary Padding	Data Destruction	Multi-Stage Channels
External Remote Services	Command and scripting interpreter	BITS Jobs	Data Encrypted for Impact	Content injection
Hardware Additions	Command-Line Interface	Bypass User Account Control	Defacement	Data encoding
Replication Through Removable Media	Compiled HTML File	Clear Command History	Disk Content Wipe
Spearphishing Attachment	Component Object Model and Distributed COM	CMSTP	Disk Structure Wipe
Spearphishing via Service	Control Panel Items	Code Signing	Endpoint Denial of Service
Supply Chain Compromise	Dynamic Data Exchange	Compile After Delivery	Firmware Corruption
Trusted Relationship	Execution through API	Compiled HTML File	Inhibit System Recovery
Valid Accounts	Execution through Module Load	Component Firmware	Network Denial of Service
	Exploitation for Client Execution	Component Object Model Hijacking	Resource Hijacking
	Graphical User Interface	Connection Proxy	Runtime Data Manipulation
	InstallUtil	Control Panel Items	Service Stop
	Launchctl	DCShadow	Stored Data Manipulation
	Local Job Scheduling	Deobfuscate/Decode Files or Information	System Shutdown/Reboot
	LSASS Driver	Disabling Security Tools	Transmitted Data Manipulation
	Mshta	DLL Search Order Hijacking
	Regsvcs/Regasm	DLL Side-Loading
	Regsvr32	Execution Guardrails
	Rundll32	Exploitation for Defense Evasion
	Scheduled Task	Extra Window Memory Injection
	Scripting	File and Directory Permissions Modification
	Service Execution	File Deletion
	Signed Binary Proxy Execution	File System Logical Offsets
	Signed Script Proxy Execution	Gatekeeper Bypass
	Source	Group Policy Modification
	Space after Filename	Hidden Files and Directories
	Third-party Software	Hidden Users
	Trap	Hidden Window
	Trusted Developer Utilities	HISTCONTROL
	User Execution	Image File Execution Options Injection
	Windows Management Instrumentation	impair defenses
	Windows Remote Management	Indicator Blocking
	XSL Script Processing	Indicator Removal from Tools
		Indicator Removal on Host
		Indirect Command Execution
		Install Root Certificate
		InstallUtil
		Launchctl
		LC_MAIN Hijacking
		Masquerading
		Modify Registry
		Mshta
		Network Share Connection Removal
		NTFS File Attributes
		Obfuscated Files or Information
		Parent PID Spoofing
		Plist Modification
		Port Knocking
		Process Doppelgänging
		Process Hollowing
		Process Injection
		Redundant Access
		Regsvcs/Regasm
		Regsvr32
		Rootkit
		Rundll32
		Scripting
		Signed Binary Proxy Execution
		Signed Script Proxy Execution
		SIP and Trust Provider Hijacking
		Software Packing
		Space after Filename
		Template Injection
		Timestomp
		Trusted Developer Utilities
		Valid Accounts
		Virtualization/Sandbox Evasion
		Web Service
		XSL Script Processing