ZynorRAT: Go-троян с Telegram C2 для Linux и Windows

Исследовательская группа Sysdig Threat Research выявила новый троян удалённого доступа — ZynorRAT. Вредонос написан на языке Go и нацелен на системы как под управлением Linux, так и Windows. В качестве основной инфраструктуры командования и контроля (C2) злоумышленники используют Telegram, что делает коммуникацию гибкой и устойчивой к простым средствам блокировки.

Ключевые возможности и поведение

• Использование Telegram как C2: извлечение команд и эксфильтрация данных осуществляется через Telegram‑бота/инфраструктуру.
• Перечисление и эксфильтрация файлов: команда /fs_list активирует функцию handleListDirectory, которая перечисляет каталоги на целевой системе и отправляет результаты обратно через Telegram. Функция handleGetFile проверяет доступность файла и, при успехе, передаёт его посредством sendDocument.
• Управление процессами: функция handleListProcess собирает информацию о запущенных процессах; команда /proc_kill позволяет завершать процессы на машине жертвы.
• Выполнение команд через shell: при отсутствии специальных команд от C2 RAT по умолчанию выполняет входящие команды непосредственно через оболочку, что даёт злоумышленнику гибкие возможности управления.
• Кроссплатформенность: реализованы версии для Linux и Windows с сопоставимыми функциями.

Методы закрепления

ZynorRAT использует нетипичный для большинства Linux‑малвари метод закрепления: создание пользовательских служб systemd. Вредонос создаёт unit‑файл в пользовательском каталоге, что обеспечивает сохранение присутствия после перезагрузки системы.

Состояние разработки и атрибуция

Анализ двоичных файлов показывает, что проект находится на ранней стадии разработки: в коде обнаружены артефакты тестирования, повторяющиеся строки и отладочные элементы. При декомпиляции исследователи заметили множественные ссылки на имя «халил«, что позволяет предположить возможную привязку к отдельному автору или актору. Такая стадия разработки также указывает на высокий риск коммерциализации инструмента на подпольных рынках.

«Ранние артефакты тестирования и повторяющиеся указания на имя «халил» дают основания рассматривать ZynorRAT как проект, развиваемый либо единственным автором, либо небольшой группой», — отмечают аналитики.

Риски для организаций и пользователей

• ZynorRAT предоставляет злоумышленникам полный набор удалённых возможностей: сбор информации о файловой системе, выкачивание файлов, управление процессами и удалённое выполнение команд.
• Использование Telegram снижает вероятность обнаружения по классическим признакам C2‑трафика и усложняет блокировку.
• Методы закрепления через пользовательские unit‑файлы systemd делают удаление угрозы более сложным при отсутствии комплексной проверки профилей автозагрузки.

Рекомендации по защите

• Мониторить подозрительную активность, связанную с сетью и сторонними мессенджерами (включая Telegram) — особенно передачу бинарных данных и нестандартные обращения к API.
• Проверять наличия нестандартных user‑level systemd unit‑файлов в пользовательских каталогах и аудит автозагрузок.
• Ограничить возможность запуска непроверенных бинарников: применять политики Application Control/whitelisting и жесткие права выполнения для пользовательских профилей.
• Использовать детекторы поведения и EDR, которые способны выявлять массовое перечисление файлов, массовые запросы процессов и попытки эксфильтрации через нестандартные каналы.
• При обнаружении индикаторов компрометации — изолировать хост, собрать артефакты и провести тщательный форензик‑анализ.

Вывод

ZynorRAT — это функционально насыщенный, но ещё развивающийся RAT, который сочетает привычные для злоумышленников возможности с менее очевидными методами коммуникации и закрепления. Поскольку инструмент всё ещё на ранней стадии и проявляет признаки тестовой разработки, есть высокий риск его дальнейшего усовершенствования и распространения через подпольные рынки. Организациям и администраторам систем следует повысить бдительность и подготовить механизмы обнаружения и реагирования на команды и поведение, характерные для этого семейства вредоносов.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.