njRAT
njRAT , также известный как Бладабинди , [ 1 ] это инструмент удаленного доступа (RAT) с пользовательским интерфейсом или троян , который позволяет владельцу программы управлять компьютером конечного пользователя. Впервые он был обнаружен в июне 2013 года, а некоторые варианты датируются ноябрем 2012 года. Он был создан хакерской организацией из разных стран под названием M38dHhM и часто использовался против целей на Ближнем Востоке. Он может распространяться через фишинговые и зараженные диски. На сегодняшний день существует множество версий этого вируса, самая известная из которых — njRAT Green Edition.
| Разработчик(и) | M38dHhM |
|---|---|
| Финальный выпуск | 0,7д
|
| Написано в | Визуальный Бейсик .NET |
| Операционная система | Microsoft Windows |
| Тип | Инструмент удаленного администрирования (RAT) |
О программе и ее местонахождении
[ редактировать ]Всплеск атак njRAT был зарегистрирован в Индии в июле 2014 года. [ 2 ] Пытаясь отключить возможности njRAT, Microsoft в 2014 году закрыла четыре миллиона веб-сайтов, пытаясь фильтровать трафик через домены no-ip.com. [ 3 ]
В марте 2016 года компания Softpedia сообщила, что спам-кампании, распространяющие трояны удаленного доступа, такие как njRAT, были нацелены на Discord . [ 4 ] В октябре 2020 года Softpedia также сообщила о появлении взломанной загрузки VMware , которая загружала njRAT через Pastebin . Завершение процесса приведет к сбою компьютера. [ 5 ]
В марте 2017 года сайт «Исламского государства» был взломан и на нем было показано поддельное обновление Adobe Flash Player , вместо которого был загружен троян njRAT. [ 6 ]
В январе 2023 года вспышки троянских инфекций были замечены на Ближнем Востоке. Злоумышленники использовали файлы .cab с предположительно политическими разговорами, при открытии они запускали скрипт .vbs , который загружал вредоносное ПО из облака. [ 7 ]
Архитектура
[ редактировать ]NjRAT, как и многие трояны удаленного доступа, работает по принципу обратного бэкдора , то есть требует открытия портов на компьютере злоумышленника. После создания вредоносного ПО (клиента) и его открытия сервер злоумышленника получает запрос со стороны клиента. После успешного подключения злоумышленник может управлять компьютером жертвы, отправляя команды на сервер во время их обработки клиентской частью.
Функции
[ редактировать ]Следующий список функций не является исчерпывающим, но имеет решающее значение для понимания возможностей этого трояна.
- Распространены
- Управление файлами
- Открыть удаленную оболочку, позволяющую злоумышленнику использовать командную строку
- Откройте диспетчер процессов, чтобы убить процессы
- Манипулировать системным реестром
- Запишите камеру и микрофон компьютера
- Журнал нажатий клавиш
- Удаленный рабочий стол (управление полем поиска и клавиатурой, получение изображения монитора)
- Украсть пароли, хранящиеся в веб-браузерах или других приложениях.
- Зеленое издание
- Изменение значка при создании вируса
- Некоторые шуточные функции раздела "весело"
- Золотое издание
- Проверка порта
- Выбор протокола подключения (TCP или UDP)
- запрет процессов методом закрытия интервала
- Опасное издание
- Возможность добавить пароль на сервер
- Окно новостей
- Искусственно увеличить вес конечного вируса
- Возможность добавить в вирус функцию запрета процессов.
- Изменяемая DNS- сервера функция сохранения
Версии
[ редактировать ]
- njRAT 0,11G
- njRAT 0.7d
- njRAT 0,7d Зеленое издание
- njRAT 0,7d Золотое издание
- njRAT 0.7d Опасное издание
- njRAT 0.7d Лаймовое издание
- njRAT 0,7d Платиновое издание
- njRAT 0,7d Ultimate Edition
- njRat 0,7d Ужасное издание
- njRat 0,7d Red Edition
- njRat 0,7d 808
Обнаружения
[ редактировать ]Общие антивирусные теги для NjRAT следующие:
- W32.Backdoor.Бладабинди
- Бэкдор.MSIL.Bladabindi
- Бэкдор/Win.NjRat.R512373
В стандартной версии троянца отсутствуют алгоритмы шифрования, поэтому он легко обнаруживается антивирусом. Однако злоумышленник может зашифровать его вручную, чтобы он не был обнаружен популярными антивирусными программами.
Ссылки
[ редактировать ]- ^ «МСИЛ/Бладабинди» . www.microsoft.com . Майкрософт . Проверено 5 июня 2017 г.
- ^ «Вирус взлома «Bladabindi» нацелен на пользователей Windows в Индии и похищает личную информацию: Cert-In - Tech2» . Тех2 . 27 июля 2014 года . Проверено 5 июня 2017 г.
- ^ Кребс, Брайан. «Microsoft затемняет 4-миллионные сайты в борьбе с вредоносным ПО — Кребс о безопасности» . krebsonsecurity.com . Проверено 5 июня 2017 г.
- ^ Чимпану, Каталин. «Игровые VoIP-серверы используются для распространения троянов удаленного доступа (RAT)» . Софтпедия . Проверено 5 июня 2017 г.
- ^ Чимпану, Каталин. «RAT, размещенный на PasteBin, приводит к BSOD» . Софтпедия . Проверено 5 июня 2017 г.
- ^ Кокс, Джозеф. «Хакеры взломали сайт Исламского государства и использовали его для распространения вредоносного ПО» . Материнская плата . Проверено 5 июня 2017 г.
- ^ «Троян NjRAT «гуляет» по Ближнему Востоку и Северной Африке — Лаборатория безопасности» . Лаборатории безопасности . Проверено 5 июня 2017 г.