JhoneRAT
JhoneRATは印象的なRAT（リモートアクセストロイの木馬）で、最近その活動が急増しています。この脅威を調査した後、マルウェアアナリストはゼロから構築された可能性が高いと結論付けました。これは珍しいことではありませんが、RATの作成者の多くは、ツールをゼロから構築するのではなく、既存の脅威のコードを借用することを好みます。専門家によると、JhoneRATはPythonプログラミング言語で書かれています。
目次
伝播方法
JhoneRATは、スパムメールキャンペーンの助けを借りて配布されています。これは、マルウェアの拡散に関して非常に一般的な伝播方法です。通常、スパムメールには破損した添付ファイルが含まれます。これはJhoneRATにも当てはまります。 JhoneRATの伝播で使用される添付ファイルには2つのタイプがあります。1つは緊急に開く必要がある重要なドキュメントであると主張し、もう1つは漏えいしたFacebookログイン資格情報を含むアーカイブであると述べています。ユーザーがこのトリックに該当して添付ファイルを開くと、JhoneRATの攻撃の次のステップの実行がトリガーされます。
マルウェア対策ツールによる検出を回避
JhoneRATの作成者は、非常に巧妙なトリックを使用して、この脅威の危険な活動を隠しています。標的のシステムを侵害すると、JhoneRATはGoogleドライブでホストされている別のMicrosoft Officeドキュメントもダウンロードします。ダウンロードされると、システム上でドキュメントが起動されます。攻撃者は、サードパーティのアプリケーション（Googleドライブなど）の使用が優先されるようにしました。これにより、このRATの作成者は脅威の活動を偽装し、セキュリティツールをだまして正当なものとしてリストすることができます。
自己保存テクニック
JhoneRATがGoogleドライブから取得する追加のドキュメントには、ハードウェアシリアル番号の存在について侵入システムをスキャンできるモジュールが含まれています。これは、JhoneRATがサンドボックス環境で実行されているか、通常のコンピューターで実行されているかを検出できることを意味します。システムがマルウェアのデバッグに使用されていないとスキャンが判断した場合、JhoneRATは攻撃を続行し、Googleドライブから画像を取得します。
中東および北アフリカのユーザーをターゲット
JhoneRATがダウンロードするイメージには、base64でエンコードされたマスクされた文字列が含まれています。次に、JhoneRATは問題の文字列をデコードし、AutoITスクリプトとして抽出します。このスクリプトは、Googleドライブでホストされている最後のペイロードを取得することを目的とするダウンローダーとして機能します。次に、JhoneRATは被害者が使用しているキーボードをチェックすることで攻撃を続行します。 JhoneRATは、被害者がイラク、サウジアラビア、リビア、クウェート、レバノン、UAE、モロッコ、チュニジア、オマーン、エジプト、バーレーン、イエメン、またはアルジェリアに典型的なキーボードを使用していることを検出した場合にのみキャンペーンを継続します。
興味深いことに、JhoneRATはTwitterプロファイルを介してコマンドを受け取ります。この脅威は、問題のTwitterアカウントに接続し、最新のツイートすべてを実行します。サイバーセキュリティ研究者によると、JhoneRATの作成者は、RATによってインターセプトされ、それに応じて実行されるコマンドをツイートします。 Twitterはその後、問題のアカウントを振り払った。残念ながら、JhoneRATの作成者は新しいTwitterアカウントを作成し、キャンペーンを簡単に継続できます。
能力
JhoneRATは、サードパーティアプリケーションに依存してコマンドを実行します。この脅威は、被害者のデスクトップとアクティブなウィンドウのスクリーンショットを撮ることができます。その後、データはImgBBと呼ばれる画像ホスティングサービスに転送されます。攻撃者はJhoneRATに命令して、Googleドライブから追加のペイロードをダウンロードして実行することもできます。 JhoneRATの作成者は、これを使用してシステムコマンドを実行することもできます。応答として記録された出力は、プライベートであるため攻撃者のみがアクセスできるGoogleフォームドキュメントに配置されます。
JhoneRATが持つ機能のリストは比較的短いにもかかわらず、この脅威が正当なサービスを使用して作成されたトラフィックをマスクできるという事実は、ウイルス対策ツールが見つけられない可能性があるため、かなり脅威になります。 JhoneRATの作成者は、非常に経験豊富で高度なスキルを持っている可能性があります。
