Dark Crystal RAT

Dark Crystal RAT (также известный как DCRAT) — вредоносное ПО типа RAT (Remote Access Trojan), которое используется для несанкционированного доступа к компьютерам и системам с целью удаленного управления и сбора информации. Инструмент привлек внимание специалистов в области кибербезопасности, в частности сотрудника компании Kaspersky "Esqandera", из-за своей способности обойти защитные меры и установить скрытый доступ к зараженным системам. Был размещен на форуме социальной инженерии "LolzTeam".

Описание

Фото окна DcRAT (взломанный)

DCRat был впервые обнаружен в 2018 году. Он создан единственным разработчиком, известным под никами ''boldenis44'', ''crystalcoder'' и ''qwqdanchun''. С момента появления DCRat постоянно обновлялся и дополнялся новыми модулями как самим автором, так и сторонними аффилиатами. Распространяется по модели Malware-as-a-Service (MaaS), продается на русскоязычных хакерских форумах по цене около 600 рублей за двухмесячную подписку.

DCRat имеет модульную архитектуру. Каждый модуль представляет собой отдельный исполняемый файл, большинство из которых - .NET-сборки, написанные на C#.

Основные функции DCRat:

• Сбор информации: DcRAT имеет модуль стиллера (от англ. steal — воровать) может собирать конфиденциальные данные, такие как пароли, личные файлы и информацию о системе, и передавать их злоумышленнику. Крадет данные из браузеров (файлы cookie, учетные данные автозаполнения) и популярных FTP-клиентов, перехватывает буфер обмена.
• Удаленное управление: основной модуль RAT, позволяет получать доступ к экрану жертвы, включая возможность управления мышью, клавиатурой и др.
• Auto Task: задачи, выполняющиеся автоматически после заражения, включают скачивание и запуск файлов, отключение UAC и Защитника Windows, установку заданий в планировщик, обновление "клиентов", Fake Binder (подмену легитным файлом вируса, без удаления самого вируса естественно).

Распространение

DcRAT зачастую распространяется под видом стороннего ПО (читов) для компьютерных игр или обычных программ, к примеру WinRAR. Что же касается площадок, на которых размещают вирус, то перед нами предстает огромное их множество: YouTube, Telegram, ВКонтакте, Discord и др. Так же обычно он бывает в формате SFX файла так что его узнать легче чем другие RAT.

Заключение

Dark Crystal RAT представляет серьезную угрозу для кибербезопасности, поскольку может использоваться злоумышленниками для несанкционированного доступа к компьютерам и украденной информации. К счастью, из-за проблем в коде RAT его довольно сложно закриптовать а значит и скрыть от обнаружения антивирусом что зачастую заставляет хакеров отказаться от него. Не смотря на это вы должны быть осторожны.