مقدمة
في عالم الأمن السيبراني، تظهر تهديدات جديدة باستمرار. أحد هذه التهديدات هو LabubaRAT، حصان طروادة متقدم يستهدف أنظمة Windows.
LabubaRAT: حصان طروادة متخفٍ كبرنامج NVIDIA للتحكم في الأنظمة
قام باحثو الأمن السيبراني بالإشارة إلى حصان طروادة (RAT) جديد مستند إلى لغة Rust، يحمل الاسم الرمزي LabubaRAT، والذي يتخفى كبرنامج من NVIDIA ليتماشى مع بيئات الأهداف.
قال الباحثون في Blackpoint Cyber، سام ديكر ونيفان بيل، في تحليل نُشر اليوم: “يخلق LabubaRAT نقطة انطلاق قابلة لإعادة الاستخدام للنشاط العملي”. “بمجرد نشره، يمكنه تحديد مواصفات النظام، التعرف على أدوات الأمان، تلقي أوامر المشغل، نقل الملفات، التقاط لقطات الشاشة، وتوجيه حركة المرور عبر النظام المتأثر.”
يدعم البرنامج أيضًا عدة طرق للتواصل، بما في ذلك HTTPS وWebView2 ونفق DNS، مما يسمح للمهاجمين بالحفاظ على الوصول إلى الأنظمة المخترقة حتى إذا تم اكتشاف وإغلاق أحد المسارات. هناك بعض العلامات على أن LabubaRAT يتم تقديمه تحت نموذج البرمجيات كخدمة (MaaS).
تبدأ سلسلة الهجوم بملف تنفيذي يسمى “nvidia-sysruntime.exe”، الذي يتظاهر بأنه أداة تشغيل حاويات NVIDIA. بدلاً من تضمين معلومات التحكم في الأوامر (C2) بشكل ثابت، يقبل البرنامج تكوينًا وقت التشغيل من خلال معلمات سطر الأوامر.
يسمح ذلك لمشغل الحملة بتحديد معلمات مختلفة أساسية لإنشاء اتصال مع الخادم البعيد، بما في ذلك تفاصيل الخادم (“pipicka[.]xyz”) وفترة الاستطلاع المستخدمة بواسطة البرنامج. بدلاً من ذلك، يمكن للمهاجم أيضًا تزويد هذه القيم الفردية في شكل حجة مشفرة بـ Base64.
“نظرًا لأن تلك القيم تم توفيرها عند الإطلاق، يمكن إعادة استخدام نفس الملف الثنائي المترجم مع بنية تحتية مختلفة أو منظمات أو مجموعات حملات بدلاً من الاعتماد على خادم ثابت”، أشار الباحثون.
يتم تخزين التكوين بعد ذلك في قاعدة بيانات SQLite محلية، وبعد ذلك يقوم البرنامج بإجراء عمليات اكتشاف لجرد قائمة المتصفحات والمنتجات الأمنية المثبتة على النظام، مع التحقق بشكل خاص من وجود Google Chrome وMozilla Firefox وMicrosoft Edge وBrave وMicrosoft Defender وCrowdStrike وSentinelOne وCarbon Black وSophos وMalwarebytes وBitdefender وESET وKaspersky وMcAfee وSymantec وTrend Micro.
بالإضافة إلى ذلك، يجمع البرنامج اسم المضيف، وحجم الذاكرة RAM، وطراز المعالج، وحالة التحكم في حساب المستخدم (UAC) كوسيلة لتحضير البيئة للمرحلة التالية، حيث قد يتم تحديد بعض وظائف RAT بناءً على أدوات الأمان المتواجدة على النظام.
بمجرد إطلاقه، يدعم LabubaRAT مجموعة واسعة من الوظائف، مثل تنفيذ الأوامر، وتنفيذ PowerShell، وتنفيذ JavaScript، والتقاط لقطات الشاشة، وتحميل وتنزيل الملفات، والتعامل مع الأرشيفات، ودعم بروكسي SOCKS5.
“تلك القدرات منحت المشغل تحكمًا كافيًا للتفاعل مع النظام، ونقل الملفات داخل وخارج البيئة، وتوجيه حركة المرور عبر النظام، والحفاظ على الوصول دون الاعتماد على محمل منفصل أو أداة متابعة محدودة”، قالت Blackpoint Cyber.
يشير البرنامج إلى عنوان “LabubaPanel” المرتبط ببنيته التحتية للتحكم في الأوامر وأيقونة favicon ذات الطابع Labubu.
“جمع العينة بين تكوين وقت التشغيل، والحالة المحلية، وتوصيف المضيف، ومسارات الاتصال المتعددة، ومهام المشغل في أداة وصول عن بُعد كاملة”، قالت Blackpoint Cyber. “أعطى البرنامج للمشغل وسيلة عملية لتسجيل الأنظمة، وفهم البيئة المحيطة بكل عميل، وتنفيذ الأوامر، ونقل الملفات، والتقاط لقطات الشاشة، وتوجيه حركة المرور، والحفاظ على بدء التشغيل على مستوى المستخدم.”
“قدمت علامة LabubaPanel clue الخارجي الأكثر وضوحًا، لكن الاكتشاف الأكثر أهمية هو الهيكل الشبيه بالإطار وراءه: RAT مستند إلى Rust مصمم ليتم تكوينه وتسجيله وتشغيله عبر عدة نشرات.”
خاتمة
مع تزايد التهديدات مثل LabubaRAT، يصبح من الضروري تعزيز الدفاعات الأمنية وفهم كيفية عمل هذه البرمجيات الخبيثة.
