În funcție de capabilitățile și privilegiile sale, un RAT poate executa comenzi, transfera fișiere, captura ecrane sau input, activa senzori ai dispozitivului, schimba setări sau instala componente suplimentare fără permisiunea informată a proprietarului dispozitivului.
RAT-urile inițiază în mod obișnuit o conexiune de ieșire sau interoghează infrastructura de comandă și control pentru a primi sarcini prin rețele restrictive. Pot stabili persistență și colecta informații înainte ca un operator să interacționeze. Capabilitățile contează mai mult decât numele unei familii.
Puncte esențiale
Intrare și persistențăRAT-urile pot ajunge printr-un program troianizat, un document malițios, un cont compromis, un exploit sau altă componentă de malware, apoi folosesc mecanisme ale sistemului de operare sau aplicației pentru a reporni.
InvestigareCorelați evenimentele de instalare, procesele-părinte neobișnuite, modificările de persistență, comenzile interactive, mișcarea fișierelor, accesul la senzori și comunicațiile externe cu proprietatea activelor și activitatea de suport aprobată.
RăspunsIzolați și păstrați sistemele afectate conform planului de incident, revocați credențialele și sesiunile expuse, identificați calea de intrare și gazdele conexe și reconstruiți atunci când integritatea nu poate fi stabilită.
Limitare importantăUn RAT nu oferă neapărat fiecare formă de „control total”, iar criptarea sau traficul de control remote nu sunt de la sine dovezi de malware. Detecția poate rata și accesul inactiv, canalele alternative sau comenzile purtate prin servicii legitime.