DinodasRAT Linux-versie gebruikt in Aziatische landen
Beveiligingsonderzoekers onthulden de opkomst van een Linux-versie van DinodasRAT, een veelzijdige achterdeur-malware, gespot in het wild gericht op regio's als China, Taiwan, Turkije en Oezbekistan.
DinodasRAT, ook bekend als XDealer, werkt in C++ en beschikt over de mogelijkheid om een breed spectrum aan gevoelige gegevens uit gecompromitteerde systemen te extraheren.
In oktober 2023 ontdekten onderzoekers een cyberspionagecampagne, genaamd Operatie Jacana, gericht op een overheidsinstantie in Guyana die de Windows-versie van deze malware gebruikte. Nieuwere rapporten benadrukken een verschuiving in de dreigingsactiviteit richting DinodasRAT, met de codenaam Earth Krahang, die zich sinds 2023 richt op verschillende overheidsinstanties over de hele wereld.
DinodasRAT Gekoppeld aan Chinese APT's
De Linux-variant (V10) van DinodasRAT, die voornamelijk wordt toegeschreven aan met China geassocieerde dreigingsactoren zoals LuoYu, werd begin oktober 2023 voor het eerst gedetecteerd, terwijl eerdere varianten dateren uit juli 2021 (V7). In november 2023 werd een nieuwere versie (V11) geïdentificeerd.
DinodasRAT is voornamelijk op maat gemaakt voor op Red Hat gebaseerde distributies en Ubuntu Linux en brengt bij uitvoering persistentie tot stand via SystemV- of SystemD-opstartscripts, waarbij via TCP of UDP met een externe server wordt gecommuniceerd voor het ophalen van opdrachten.
Deze achterdeur is uitgerust om bestandsbewerkingen uit te voeren, command-and-control-adressen te wijzigen, lopende processen te beheren, shell-commando's uit te voeren, zichzelf bij te werken en zichzelf te vernietigen. Het maakt gebruik van tactieken om detectie te omzeilen, waaronder de versleuteling van C2-communicatie met behulp van het Tiny Encryption Algorithm (TEA).
Onderzoekers merken op dat DinodasRAT zich richt op het verkrijgen en behouden van toegang tot Linux-servers in plaats van op verkenning, waardoor volledige controle over data-exfiltratie en spionage mogelijk wordt.
De analyse van Check Point onthult de oorsprong van DinodasRAT in het open-sourceproject SimpleRemoter, voortkomend uit Gh0st RAT. De Linux-variant, genaamd Linodas, beschikt over mogelijkheden zoals multi-threaded systeemmonitoring, hulpmodules voor het verstoren van systeembinaire bestanden, en een filtermodule die fungeert als proxy voor het controleren van de uitvoer van originele binaire bestanden om detectie te omzeilen en informatie van hosts te verzamelen.
