Zusammenfassung
DCRat (auch bekannt als Dark Crystal RAT) ist ein modularer Remote Access Trojaner (RAT), der als Malware-as-a-Service (MaaS) angeboten wird und es seit 2018 gibt. Es ist in C# geschrieben und verfügt über typische RAT- und Informationsdiebstahl-Funktionen, wie z. B. das Ausführen von Shell-Befehlen, das Protokollieren von Tastenanschlägen, das Exfiltrieren von Dateien und Anmeldeinformationen, um nur einige zu nennen.
DCRat wurde in der Vergangenheit über kompromittierte oder gefälschte Websites, passwortgeschützte Archive, die über beliebte Medien wie Signal, Cobalt Strike Beacons oder E-Mail-Spam mit in Makros eingebetteten Excel- oder PDF-Anhängen bereitgestellt wurden, bereitgestellt.
Bei der Bedrohungssuche entdeckte das Netskope-Team, dass russischsprachige Benutzer mit DCRat angegriffen wurden, das durch HTML-Schmuggel verbreitet wurde, eine Bereitstellungstechnik, die wir bisher nicht bei der Bereitstellung von DCRat beobachtet haben. In diesem Blog werden wir die in dieser Kampagne verwendeten Techniken weiter analysieren.
HTML-Smuggling
HTML-Smuggling ist in erster Linie ein Mechanismus zur Bereitstellung von Nutzlasten. Die Nutzlast kann in den HTML-Code selbst eingebettet oder von einer Remote-Ressource abgerufen werden. Sie wird in der Regel durch eine Kombination aus Komprimierung, Codierung oder Verschlüsselung verschleiert. Auf diese Weise kann es die Netzwerksicherheitsmechanismen leichter umgehen und den Browser des Opfers erreichen.
Sobald der HTML-Code im Browser gerendert wird, wird die bösartige Nutzlast in ihre ursprüngliche Form umgewandelt. Möglicherweise sind Anti-Emulationsmaßnahmen im HTML-Code implementiert, so dass z. B. die Nutzlast nur transformiert wird, wenn sich der Mauszeiger bewegt. Die transformierte Nutzlast wird dann automatisch auf die Festplatte geschrieben, oder sie erfordert eine Benutzerinteraktion in Form von Mausklicks. Der Bedrohungsakteur setzt in der Regel eine Form von Social Engineering ein, um den Benutzer zur Ausführung der Nutzlast zu bewegen.