Загрузчик Noodle RAT для Linux запускал вредоносную нагрузку из памяти

В сентябре 2026 года один пользователь загрузил через API VirusTotal несколько вариантов Noodle RAT для Linux и связанные с ними загрузчики. Активность загрузки и характеристики образцов указывают на то, что файлы, вероятно, использовались для тестирования обхода обнаружения, а не для активной атаки. Noodle RAT связывают с группировками, использующими китайский язык; его применяли в кибершпионаже, финансово мотивированных операциях и других атаках.

Среди имён загруженных файлов были packed-x64, vt2-packed-x64 и vt-submit-x64.bin. Загрузчик встраивает полезную нагрузку Noodle RAT, зашифрованную алгоритмом ChaCha20. При запуске он считывает последние 60 байтов собственного исполняемого файла. Эти данные начинаются с магического значения NLKA01\x00\x01 и содержат размер полезной нагрузки и параметры расшифровки. С их помощью загрузчик расшифровывает полезную нагрузку, расположенную по смещению 0x5B88.

После расшифровки загрузчик создаёт в памяти анонимный файл с именем kworker с помощью memfd_create, записывает в него полезную нагрузку и запускает её через execve. Такой способ выполнения не записывает полезную нагрузку напрямую на диск. Если вызов memfd_create завершается ошибкой или переменная окружения STUB_MODE имеет значение file, загрузчик сохраняет полезную нагрузку в /tmp/.0000e444 и запускает её оттуда.

Переменная окружения STUB_ARGV0 позволяет изменить аргументы командной строки и замаскировать имя процесса. В самом Noodle RAT есть аналогичная возможность подмены имени процесса. По оценке исследователей, это указывает на то, что загрузчик, вероятно, поддерживает и другие полезные нагрузки, помимо Noodle RAT.

Наблюдаемые параметры конфигурации Noodle RAT и поддельное имя процесса были зашифрованы алгоритмом RC4. В более ранних версиях использовался ключ r0st@#$, а в исследованном образце применялся ключ mBCHk?u. Процедура расшифровки имени процесса при этом продолжала использовать старый ключ. Это приводило к срабатыванию соответствующей функции, тогда как расшифровка конфигурации оставалась работоспособной.

В образце были заданы C2-серверы с IP-адресами из диапазонов обратной петли и документации. Исследователи считают, что это, вероятно, тестовая сборка. Один из зарегистрированных хешей SHA-256: 5cc6aad107fa9fee4718fa79ae940f0e6ef3e0255f42a03bed00d78fb0e5d710.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.