SloppyRAT è un nuovo Remote Access Trojan individuato da Zscaler ThreatLabz e associato ad attacchi ransomware, dove viene utilizzato per ottenere un punto d’appoggio e favorire il movimento laterale nella rete compromessa. Il malware, osservato per la prima volta a giugno, viene distribuito attraverso una catena ClickFix multistadio e combina accesso remoto, ricognizione e tecniche avanzate di evasione.
La catena prende avvio da un’esca ClickFix che induce la vittima a eseguire un comando tramite finger.exe, utility di Windows utilizzata per scaricare uno script. Da qui vengono recuperati ulteriori componenti, tra cui IronPython, CastleLoader e CastleRAT, fino al caricamento riflessivo della DLL di SloppyRAT direttamente in memoria. La tecnica riduce la presenza del payload finale su disco e complica l’analisi e il rilevamento.
47 comandi e un tunnel per il movimento laterale
Il cuore operativo di SloppyRAT è costituito da 47 comandi integrati, simili a quelli di PowerShell ma implementati direttamente in C++ e in grado di interagire con le API di Windows senza avviare necessariamente PowerShell come processo. Le funzioni coprono ricognizione dell’host, filesystem, processi e servizi, registro, rete, DNS e configurazioni di Microsoft Defender.
Particolarmente rilevante per gli attacchi ransomware è il reverse SOCKS proxy, che trasforma il sistema compromesso in un punto di transito verso la rete interna. L’attaccante può così utilizzare l’host infetto come tunnel per raggiungere altri sistemi non direttamente esposti a Internet, facilitando la fase di lateral movement e preparazione della cifratura.
Anti-analysis e C2 difficile da intercettare
SloppyRAT adotta diversi livelli di anti-analysis: 13 funzioni vengono cifrate e decifrate solo durante l’esecuzione, mentre junk code, risoluzione dinamica delle syscall e indirect syscall rendono più complessa l’analisi e possono ostacolare alcune tecniche di detection.
Sul fronte delle comunicazioni, il malware utilizza HTTPS con messaggi JSON, certificate pinning e cifratura dei dati. Il pinning impedisce inoltre a strumenti di network monitoring di inserirsi facilmente nella sessione TLS per ispezionarne il traffico. Come canale alternativo per la risoluzione dell’infrastruttura C2, SloppyRAT implementa EtherHiding attraverso la blockchain Polygon, anche se ThreatLabz rileva che questa funzionalità appare ancora in fase di sviluppo.
Nonostante numerosi bug che indicano uno sviluppo ancora in corso, ThreatLabz considera operative le principali capacità di ricognizione, accesso remoto, evasione e movimento laterale. Un elemento difensivo immediato è rappresentato dal blocco dell’uscita sulla porta TCP 79 e dall’impedimento dell’esecuzione di finger.exe, strumenti che nella maggior parte degli ambienti aziendali non sono necessari.
https://www.zscaler.com/blogs/security-research/sloppyrat-new-tool-ransomware-attacks
