Noodle RAT рассматривается как отдельное семейство бэкдоров
Noodle RAT, также известная как ANGRYREBEL или Nood RAT, представляет собой модульную троянскую программу удалённого доступа, которую китайскоязычные злоумышленники используют как минимум с 2016 года. Вредоносная программа имеет варианты для Windows и Linux с общей архитектурой управления, схожим дизайном конфигурации и модульной структурой. Ранее Noodle RAT ошибочно идентифицировали как варианты Gh0st RAT или Rekoobe, однако теперь её рассматривают как отдельное семейство бэкдоров. Вредоносная программа применялась в шпионских и киберкриминальных операциях против организаций в Азиатско-Тихоокеанском регионе, включая Таиланд, Индию, Японию, Малайзию и Тайвань.
Среди задокументированных пользователей Noodle RAT указаны Iron Tiger, Calypso APT, Rocke и Cloud Snooper. Это указывает на использование вредоносной программы как государственными, так и криминальными операторами.
Вариант для Windows и способы доставки
Вариант для Windows, Win.NOODLERAT, работает в оперативной памяти и обычно доставляется загрузчиками шеллкода, включая MULTIDROP и MICROLOAD. Он поддерживает загрузку и скачивание файлов, выполнение дополнительных модулей, работу в качестве TCP-прокси и самостоятельное удаление.
Для передачи данных и конфигурационных параметров Win.NOODLERAT использует комбинации RC4, XOR и собственных алгоритмов шифрования.
Возможности Linux.NOODLERAT
Linux.NOODLERAT, как правило, разворачивается после эксплуатации уязвимостей или установки веб-шелла на открытых серверах Linux. Вредоносная программа предоставляет доступ через обратный шелл, поддерживает управление файлами, планирование задач и SOCKS-туннелирование.
Для коммуникаций Linux.NOODLERAT использует HMAC-SHA1 и AES-128-CBC. С Linux-версией также связывают сборщик и панель управления. В них содержатся примечания к выпуску на упрощённом китайском языке, что указывает на активно поддерживаемый набор инструментов.
Связи с другими вредоносными программами
Noodle RAT содержит сходства в коде с плагинами Gh0st RAT для Windows, а также с Rekoobe и Tiny SHell для Linux. При этом вредоносная программа сохраняет собственную реализацию и кроссплатформенную архитектуру.
Модульная архитектура Noodle RAT, шифрованные коммуникации, возможности проксирования и туннелирования, а также поддержка развёртывания в памяти или на этапе постэксплуатации делают её пригодной для обеспечения постоянного доступа и проведения скрытых операций.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
