Zależnie od możliwości i uprawnień RAT może wykonywać polecenia, przesyłać pliki, przechwytywać ekrany lub dane wejściowe, aktywować czujniki urządzenia, zmieniać ustawienia lub instalować dodatkowe komponenty bez świadomej zgody właściciela urządzenia.
RAT-y zwykle inicjują połączenie wychodzące lub odpytują infrastrukturę command and control, by odbierać zadania mimo restrykcyjnych sieci. Mogą ustanawiać utrwalenie i zbierać informacje, zanim operator zacznie wchodzić w interakcję. Możliwości znaczą więcej niż nazwa rodziny.
Najważniejsze punkty
Wejście i utrwalenieRAT-y mogą docierać przez program trojanizowany, złośliwy dokument, skompromitowane konto, exploit lub inny komponent złośliwego oprogramowania, a potem używać mechanizmów systemu operacyjnego lub aplikacji do ponownego uruchamiania się.
DochodzenieKoreluj zdarzenia instalacyjne, nietypowe procesy rodzicielskie, zmiany utrwalenia, interaktywne polecenia, przenoszenie plików, dostęp do czujników i komunikację zewnętrzną z własnością zasobów i zatwierdzoną aktywnością wsparcia.
ReakcjaIzoluj i zachowaj dotknięte systemy zgodnie z planem incydentowym, unieważnij eksponowane poświadczenia i sesje, zidentyfikuj ścieżkę wejścia i powiązane hosty oraz odbuduj system, gdy nie da się ustalić integralności.
Istotne ograniczenieRAT nie musi zapewniać każdej formy „pełnej kontroli", a szyfrowanie lub ruch zdalnej kontroli samo w sobie nie jest dowodem złośliwego oprogramowania. Detekcja może też przeoczyć uśpiony dostęp, alternatywne kanały lub polecenia przenoszone przez legalne usługi.