Эволюция экосистемы AsyncRAT: анализ сертификатов и инфраструктуры

AsyncRAT был впервые опубликован на платформе GitHub в январе 2019 года разработчиком под псевдонимом NYAN-x-CAT как масштабная переработка более старого проекта Quasar RAT. От этой корневой версии образовались многочисленные ответвления. Наиболее массовым потомком стал DCRAT (DarkCrystal RAT), который в свою очередь стал основой для VenomRAT. Этот каскадный процесс создания новых версий привел к появлению десятков специфических троянов, среди которых LMTeamRAT, EchoRAT, BitRAT и Alfa Red Fox. Такое многоуровневое разветвление кода формирует сложную проблему для команд безопасности, которые вынуждены постоянно адаптировать базы обнаружения под новые модификации вместо того, чтобы устранять первопричину.

Несмотря на сложность всей экосистемы, архитектурная однотипность стала слабым местом киберпреступников. Анализ подтвердил, что каждый новый вариант трояна преимущественно наследует структуру TLS-сертификата своего предшественника без существенных изменений. Центральным маркером для обнаружения этого семейства стала комбинация полей «O=<Name> By <author>, L=SH, C=CN», которую инициировал DCRAT. Использование этой комбинации на нестандартных портах позволяет идентифицировать живую среду C2 даже тогда, когда конкретная версия вредоносного ПО не имеет собственного брендинга. Специалисты отмечают, что метаданные сертификатов остаются наиболее надежной поверхностью для обнаружения, поскольку имена авторов сборок или родительских программ остаются неизменными.

Масштаб развертывания экосистемы остается крайне неравномерным в зависимости от конкретного варианта. Согласно результатам проверок, базовая версия AsyncRAT удерживает наибольшее присутствие, охватывая около 49 подтвержденных хостов. Ее потомок DCRAT функционирует примерно на 36 серверах управления, а Gh0stRAT (созданный на базе DCRAT) использует более 20 хостов. Исследование также выявило, что в полях сертификатов часто фигурируют конкретные псевдонимы сборщиков, такие как «qwqdanchun» или «alexeikun», что оптимизирует процесс отслеживания масштабных кампаний.

Отдельную категорию составляют узконаправленные варианты, которые часто запускаются на единственном активном хосте либо вовсе не имеют подтвержденной живой инфраструктуры на момент проверки. К таким экземплярам относятся LMTeamRAT, ElegyRAT, CyberSpike и JasonRAT. Значение этих единичных троянов заключается в их метаданных, которые содержат комбинации идентификаторов, не поддающихся подделке. Например, сертификат для LMTeamRAT безоговорочно указывает как на родительскую ветку VenomRAT, так и на конкретного разработчика. Мониторинг этих менее активных узлов чрезвычайно важен, поскольку они могут быть индикаторами подготовки к целенаправленным атакам на предприятия.

Использование исключительно названий вариантов для отслеживания угроз имеет существенные ограничения. Уникальные имена вроде ArchosaurRAT или ShiningForceRAT создают чистые запросы, генерируя минимальное количество ложных срабатываний. В то же время поиск по более общим названиям приводит к критическим конфликтам с легитимными организациями. Например, запросы относительно PhoenixRAT пересекаются с промышленным оборудованием компании Phoenix Contact GmbH, а результаты для PegasusRAT теряются в информационном шуме от продуктов NSO Group. Учитывая это, системам обнаружения нужен проверенный образец сертификата или содержимое панели управления, а не просто совпадение по названию.

Эволюция экосистемы AsyncRAT демонстрирует необходимость перехода от классического блокирования файлов по сигнатурам к отслеживанию инфраструктурных паттернов. Злоумышленники продолжат создавать новые ответвления кода, однако их зависимость от устаревших структур TLS-сертификатов остается мощным инструментом для команд защиты. Анализ этих метаданных способен значительно увеличить эффективность обнаружения сред C2.

iIT Distribution является дистрибьютором решений для обеспечения информационной безопасности и ИТ-инфраструктуры. Команда экспертов iITD предоставляет всестороннюю поддержку в процессе консалтинга, проектирования, развертывания и настройки передовых систем Threat Intelligence. Сотрудничество с iIT Distribution гарантирует квалифицированное сопровождение на всех этапах партнерских проектов, помогая командам адаптироваться к изменяющемуся ландшафту угроз.