Neptune RAT vs XWORM: indagine sulle somiglianze
Un’indagine recente su Neptune RAT ha rivelato numerose sovrapposizioni con il famigerato trojan di accesso remoto XWORM. Data la popolarità crescente di XWORM (malware scritto in .NET ), questa scoperta ha spinto ad analisi più approfondite, facendo emergere diverse connessioni interessanti tra le due famiglie di malware.
Le indagini OSINT come riporta nella sua pubblicazione Ajin Deepak – Threat Analysis Engineer di Gendigital, nata dalla fusione di NortonLifeLock e Avast, hanno evidenziato diversi collegamenti preliminari, tra cui fork del repository MasonGroup/NeptuneRatV1.
Sebbene il repository originale non sia più disponibile, i fork rinvenuti contenevano codice con marcate sovrapposizioni rispetto a quello di XWORM. Di particolare rilievo è il fatto che l’attuale builder di Neptune RAT menzioni il gruppo Freemasonry, coerentemente con il server Discord individuato durante le analisi.
Neptune RAT vs XWORM: ulteriori somiglianze
L’attività di reverse engineering su Neptune RAT V1 ha rivelato ulteriori elementi di somiglianza. Pur potendo considerare la struttura delle risorse condivise come una coincidenza, lo schema di crittografia risulta praticamente identico, infatti entrambi i malware adottano AES in modalità ECB, ritenuta insicura, con la medesima derivazione della chiave basata su un mutex hard-coded.
Anche i meccanismi di persistenza mostrano analogie funzionali e strutturali. Inoltre, la funzione di clipper sfrutta le stesse espressioni regolari e prende di mira le medesime criptovalute, in particolare indirizzi Bitcoin legacy, pur trascurando standard più recenti come Bech32.
Sulla base di queste evidenze, gli esperti di Avast ritengono che le profonde somiglianze tra XWORM e Neptune RAT V1, unite alle differenze riscontrate rispetto ad altri RAT open source, indichino con forza una relazione tra i due malware. Tali analogie, tuttavia, non si estendono alla versione successiva: Neptune RAT V2, pur mantenendo funzioni simili, appare infatti come una completa riscrittura del codice.
Remote Access Trojan – RAT
I RAT sono una particolare categoria di trojan – ovvero un programma malevolo che si camuffa da software legittimo – progettata per dare ai criminali informatici il controllo remoto completo di un computer infetto.
Il RAT è una vera e propria “porta di servizio” nascosta che consente al cybercriminale di controllare e sfruttare il sistema infetto a distanza, spesso senza che l’utente se ne accorga.
Una volta installato, il RAT crea una connessione nascosta con il server criminale permettendogli di eseguire comandi come se fosse fisicamente davanti al computer. Può raccogliere password, cookie di navigazione, documenti, screenshot, registrazioni audio/video fino alle credenziali bancarie. Inoltre si riavvia automaticamente, modificando il registro di sistema o creando attività pianificate.
Molti RAT includono keylogger (per registrare tutto ciò che viene digitato), moduli per spiare webcam e microfono, o componenti per diffondersi in rete locale.
Per saperne di più ➡️clicca qui!
Sei un rivenditore? clicca sul nostro sito ➡️ Avast