Цифровата епидемия на Rafel RAT вече обхвана повече от 15 държави

Хакерите масово маскират зловредния софтуер като Instagram и WhatsApp.

Според неотдавнашен доклад на Check Point киберпрестъпни групи, включително такива, които се занимават с кибершпионаж, напоследък активно използват инструмент с отворен код за отдалечено администриране на Android, наречен Rafel RAT, маскиран като Instagram, WhatsApp и различни приложения за електронна търговия и антивирусни програми.

Изследователите съобщават, че инструментът предоставя на нападателите мощен набор от възможности за дистанционно управление и контрол, което позволява различни злонамерени дейности – от кражба на данни до манипулиране на на устройството.

Rafel RAT разполага с широк набор от функции, като например възможност за изтриване на SD карти, изтриване на дневници за повиквания, прихващане на известия и дори действие като рансъмуер.

Check Point вече е документирала използването на Rafel RAT от екипа DoNot в кибератаки, които са използвали уязвимост във Foxit Reader, за да измамят потребителите. В тази кампания, проведена през април 2024 г., са използвани PDF файлове на военна тематика, за да се достави зловреден софтуер.

Check Point идентифицира около 120 различни злонамерени кампании, някои от които бяха насочени към високопоставени цели в държави като Австралия, Китай, Чехия, Франция, Германия, Индия, Индонезия, Италия, Нова Зеландия, Пакистан, Румъния, Русия и САЩ.

По-голямата част от жертвите на Rafel RAT са използвали телефони на Samsung, следвани от потребителите на Xiaomi, Vivo и Huawei. Над 87,5% от заразените устройства са били с остарели версии на Android, които вече не получават актуализации за сигурност.

Типичните вериги на атака включват социално инженерство, за да се манипулират жертвите да предоставят на зловредни приложения достъп до чувствителни данни, като например информация за контакти, SMS съобщения, местоположение и записи на обаждания.

Rafel RAT използва предимно HTTP(S) за C2 комуникациите, но може да използва и Discord API, за да комуникира със сървърите на нападателите. Освен това инструментът има контролен PHP панел, който регистрираните потребители могат да използват, за да управляват компрометираните устройства.

Ефективността на инструмента се потвърждава от използването му в операция за изнудване, извършена от нападател, за когото се смята, че е от Иран, който изпратил бележка за откуп на арабски език чрез SMS, призовавайки пакистанска жертва да се свърже с него в Telegram.

Експертите на Check Point отбелязаха, че Rafel RAT е ярък пример за еволюцията на зловредния софтуер за Android, който се характеризира със своя отворен код, богат набор от функции и широко използване в различни незаконни практики. Присъствието на Rafel RAT в киберпространството подчертава необходимостта от постоянна бдителност и проактивни мерки за сигурност, за да се защитят устройствата с Android от злонамерена употреба.