DinodasRAT Linux-Version wird in asiatischen Ländern verwendet

Sicherheitsforscher enthüllten das Auftauchen einer Linux-Version von DinodasRAT, einer vielseitigen Backdoor-Malware, die in freier Wildbahn gesichtet wurde und auf Regionen wie China, Taiwan, die Türkei und Usbekistan abzielt.

DinodasRAT, auch bekannt als XDealer, arbeitet in C++ und verfügt über die Fähigkeit, ein breites Spektrum sensibler Daten aus kompromittierten Systemen zu extrahieren.

Im Oktober 2023 deckten Forscher eine Cyberspionagekampagne mit dem Namen Operation Jacana auf, die sich gegen eine Regierungsbehörde in Guyana richtete und die Windows-Version dieser Malware nutzte. Neuere Berichte weisen auf eine Verlagerung der Bedrohungsaktivität hin zu DinodasRAT mit dem Codenamen Earth Krahang hin, die seit 2023 verschiedene Regierungsbehörden weltweit ins Visier nimmt.

DinodasRAT mit chinesischen APTs verknüpft

Die Linux-Variante (V10) von DinodasRAT, die hauptsächlich mit China in Verbindung stehenden Bedrohungsakteuren wie LuoYu zugeschrieben wird, wurde erstmals Anfang Oktober 2023 entdeckt, wobei frühere Varianten auf Juli 2021 (V7) zurückgehen. Eine neuere Version (V11) wurde im November 2023 identifiziert.

DinodasRAT ist in erster Linie auf Red Hat-basierte Distributionen und Ubuntu Linux zugeschnitten und stellt bei der Ausführung eine Persistenz über SystemV- oder SystemD-Startskripts her und kommuniziert mit einem Remote-Server über TCP oder UDP für den Befehlsabruf.

Diese Hintertür ist dazu ausgestattet, Dateioperationen auszuführen, Befehls- und Kontrolladressen zu ändern, laufende Prozesse zu verwalten, Shell-Befehle auszuführen, sich selbst zu aktualisieren und sich selbst zu zerstören. Es nutzt Taktiken, um einer Entdeckung zu entgehen, einschließlich der Verschlüsselung der C2-Kommunikation mithilfe des Tiny Encryption Algorithm (TEA).

Die Forscher weisen darauf hin, dass sich DinodasRAT eher auf die Erlangung und Aufrechterhaltung des Zugriffs auf Linux-Server als auf Aufklärung konzentriert und so die vollständige Kontrolle für Datenexfiltration und Spionage ermöglicht.

Die Analyse von Check Point zeigt, dass DinodasRAT seinen Ursprung im Open-Source-Projekt SimpleRemoter hat, das aus Gh0st RAT hervorgegangen ist. Die Linux-Variante mit dem Namen Linodas verfügt über Funktionen wie Multithread-Systemüberwachung, Hilfsmodule zur Beeinflussung von Systembinärdateien und ein Filtermodul, das als Proxy zur Steuerung der Ausgabe von Originalbinärdateien fungiert, um einer Erkennung zu entgehen und Informationen von Hosts zu sammeln.