LodaRAT 再次袭击：新活动以更新的功能针对全球受害者

Rapid7 的研究人员发现了一个使用 LodaRAT 的新活动，这是一个著名的远程访问工具 (RAT)，自 2016 年以来一直很活跃。LodaRAT 最初是为收集信息而开发的，一直被用于网络间谍和数据窃取，但最新的活动显示，它的传播范围和能力都出现了惊人的扩张，使其成为一种全球性威胁。

LodaRAT 的最新变种扩大了其攻击范围，目标是 Microsoft Edge 和 Brave 浏览器的 cookies 和凭证。Rapid7 强调指出：”新的恶意软件家族不断涌现，更新花样繁多，而 LodaRAT 自 2021 年以来基本保持不变，但仍在全球范围内传播和感染系统。其核心设计的简洁性使攻击者无需进行重大修改就能保持其有效性。”

LodaRAT 的持久能力使其成为一个重大威胁。它通过钓鱼邮件、漏洞利用以及最近的 DonutLoader 和 CobaltStrike 等方式传播，这两种方式都以逃避检测而著称。

该恶意软件现在伪装成 Discord、Skype 和 Windows Update 等流行应用程序，诱骗用户下载。与以往以地区为重点的活动不同，这次的迭代是不加区分的，受害者遍布全球。据 Rapid7 观察，VirusTotal 上传的样本中约有 30% 来自美国。

LodaRAT 图片 Rapid7

安装后，LodaRAT 会通过修改系统注册表或创建计划任务来建立持久性。该版本的 LodaRAT 能够从现代网络浏览器中窃取凭证并执行以下操作：

屏幕捕获并将图像保存在隐藏目录中，以逃避检测
麦克风和网络摄像头录音，并将捕获的媒体传输到命令与控制（C2）服务器
创建新用户账户并禁用 Windows 防火墙
利用 SMB 协议的横向移动能力感染网络内的其他系统

Rapid7 发现，该恶意软件 “试图连接到端口 445 上的内部 IP”，以传播到其他设备，这表明其危害组织网络的潜力在增加。Rapid7 警告说：“最近的活动……证明了在没有重大更新的情况下，小的调整也能保持恶意软件的有效性”。

为应对这一威胁，Rapid7 建议在所有端点实施强大的检测覆盖范围，并建议使用其 Insight Agent 监控可疑进程并发出警报。安全团队还应对 LodaRAT 的破坏指标（IOC）保持警惕，并采用强大的身份验证和网络安全措施来降低凭证被盗的风险。

千百度

1.本站内容仅供参考，不作为任何法律依据。用户在使用本站内容时，应自行判断其真实性、准确性和完整性，并承担相应风险。

2.本站部分内容来源于互联网，仅用于交流学习研究知识，若侵犯了您的合法权益，请及时邮件或站内私信与本站联系，我们将尽快予以处理。

3.本文采用知识共享署名4.0国际许可协议 [BY-NC-SA] 进行授权

4.根据《计算机软件保护条例》第十七条规定“为了学习和研究软件内含的设计思想和原理，通过安装、显示、传输或者存储软件等方式使用软件的，可以不经软件著作权人许可，不向其支付报酬。”您需知晓本站所有内容资源均来源于网络，仅供用户交流学习与研究使用，版权归属原版权方所有，版权争议与本站无关，用户本人下载后不能用作商业或非法用途，需在24个小时之内从您的电脑中彻底删除上述内容，否则后果均由用户承担责任；如果您访问和下载此文件，表示您同意只将此文件用于参考、学习而非其他用途，否则一切后果请您自行承担，如果您喜欢该程序，请支持正版软件，购买注册，得到更好的正版服务。