LabubaRAT маскируется под ПО NVIDIA и управляется через LabubaPanel

LabubaRAT, написанный на Rust неподписанный 64-разрядный троянец, маскируется под легитимное программное обеспечение NVIDIA. Он предоставляет удалённым операторам возможности выполнять команды, работать с файлами, захватывать экран и использовать SOCKS5-проксирование. В отчёте LabubaRAT описан как настраиваемый имплант, а не программа с одной фиксированной функцией.

Среди полей регистрации LabubaRAT есть организация, группа, сервер и API-ключ. Внутренняя конфигурация использует пространство имён «ZM_». По оценке авторов отчёта, эти характеристики могут указывать на то, что вредоносная программа входит в многоразовый многоарендный фреймворк и потенциально предлагается по модели «вредоносное ПО как услуга». Это предположение, а не подтверждённая бизнес-модель.

LabubaRAT управляется через связанную с ним серверную инфраструктуру LabubaPanel. Её обнаружили на нескольких IP-адресах управления, размещённых у немецких провайдеров. Для доставки использовались собственные возможности RAT по выполнению JavaScript. В отчёте не приводятся дополнительные сведения о методе первоначального доступа и о том, как именно задействовали эту возможность.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.