V závislosti na schopnostech a oprávněních může RAT spouštět příkazy, přenášet soubory, zachycovat obrazovky či vstup, aktivovat senzory zařízení, měnit nastavení nebo instalovat další komponenty bez informovaného souhlasu vlastníka zařízení.
RATy běžně iniciují odchozí spojení nebo dotazují infrastrukturu command-and-control, aby přijímaly úkoly i přes restriktivní sítě. Mohou navázat perzistenci a sbírat informace dříve, než operátor interaguje. Schopnosti jsou důležitější než název rodiny.
Klíčové body
Vstup a perzistenceRATy mohou přijít přes trojanizovaný program, škodlivý dokument, kompromitovaný účet, exploit nebo jinou komponentu malwaru a poté používat mechanismy operačního systému či aplikací k restartu.
VyšetřováníKorelujte události instalace, neobvyklé rodičovské procesy, změny perzistence, interaktivní příkazy, pohyb souborů, přístup k senzorům a externí komunikace s vlastnictvím aktiv a schválenou podpůrnou činností.
ReakceIzolujte a zachovejte dotčené systémy podle plánu incidentů, odvolejte exponované přihlašovací údaje a relace, identifikujte vstupní cestu a související hosty a přebudujte, když integritu nelze prokázat.
Důležité omezeníRAT nemusí nutně poskytovat každou formu „úplné kontroly" a šifrování či vzdálený řídicí provoz sám o sobě není důkazem malwaru. Detekce může také minout nečinný přístup, alternativní kanály nebo příkazy nesené legitimními službami.