アジア諸国で使用されている DinodasRAT Linux バージョン

セキュリティ研究者らは、中国、台湾、トルコ、ウズベキスタンなどの地域を標的とする多用途バックドア マルウェアである DinodasRAT の Linux 版が出現したことを明らかにしました。

XDealer としても知られる DinodasRAT は C++ で動作し、侵害されたシステムから広範囲の機密データを抽出する機能を備えています。

2023 年 10 月、研究者らは、このマルウェアの Windows バージョンを使用してガイアナの政府機関を標的とした、Operation Jacana と呼ばれるサイバースパイ活動を発見しました。新しいレポートでは、2023 年以降、世界中のさまざまな政府機関を標的とした、コードネーム Earth Krahang である DinodasRAT への脅威活動の移行が強調されています。

DinodasRAT が中国の APT にリンクされている

主に LuoYu などの中国関連の脅威アクターによるものと考えられ、DinodasRAT の Linux 亜種 (V10) は 2023 年 10 月初旬に初めて検出され、それ以前の亜種は 2021 年 7 月 (V7) に遡ります。新しいバージョン (V11) は 2023 年 11 月に確認されました。

主に Red Hat ベースのディストリビューションと Ubuntu Linux 用に調整された DinodasRAT は、実行時に SystemV または SystemD 起動スクリプトを介して永続性を確立し、コマンドを取得するために TCP または UDP 経由でリモート サーバーと通信します。

このバックドアは、ファイル操作の実行、コマンド アンド コントロール アドレスの変更、実行中のプロセスの管理、シェル コマンドの実行、自身の更新、および自己破壊を行うために装備されています。 Tiny Encryption Algorithm (TEA) を使用した C2 通信の暗号化など、検出を回避する戦術が採用されています。

研究者らは、DinodasRAT は偵察ではなく Linux サーバーへのアクセスを取得および保持することに焦点を当てており、データの漏洩やスパイ活動の完全な制御を容易にしていると指摘しています。

Check Point の分析により、DinodasRAT の起源は、Gh0st RAT から進化したオープンソース プロジェクト SimpleRemoter にあることが明らかになりました。 Linodas という名前の Linux バリアントは、マルチスレッド システム監視、システム バイナリに干渉するための補助モジュール、検出を回避してホストから情報を収集するために元のバイナリからの出力を制御するプロキシとして機能するフィルタ モジュールなどの機能を備えています。