ZuoRAT Malware
ZuoRAT 是一種遠端存取木馬 (RAT) ，至少自 2020 年以來一直活躍，但於 2022 年首次在野外檢測到。 該惡意軟體主要針對銷往北美和歐洲市場的小型辦公室/家庭辦公室 (SOHO) 路由器。
ZuoRAT如何運作？
ZuoRAT 是Mirai的後代，Mirai 是歷史上最著名的物聯網 (IoT) 殭屍網路之一。 Mirai 的原始碼於 2016 年洩露，使得其他惡意軟體能夠在其現有程式碼庫上建置。
ZuoRAT 利用了受 COVID-19 大流行啟發的遠距工作熱潮。 由於疫情的影響，現在有更多的業務流量透過 SOHO 路由器，這些路由器將家庭辦公室或小型企業連接到網路。 這些路由器通常比大型路由器受到更少的監控和保護，這可能是 RAT 在被發現之前在雷達下飛行一年多的原因。
ZuoRAT 透過利用未打補丁的脆弱性來存取 SOHO 路由器。 這些脆弱性是眾所周知的；然而，很少有個人和小型企業應用這些補丁，這使得他們很容易受到剝削。 在獲得路由器的存取權限後，ZuoRAT 的主要目標是收集敏感資料。 它竊聽通過路由器的通訊並對 HTTP 和 DNS 流量執行中間人 (MitM) 攻擊。
作為一種RAT ，惡意軟體也為攻擊者提供了遠端控制受感染裝置的能力。 在收集有關受感染裝置及其所連接的網路的資訊後，惡意軟體操作員可以決定在系統上執行某些命令或下載其他模組。
ZuoRAT 的模組化特性為其提供了廣泛的功能。 據估計，該惡意軟體已識別出 2,500 個不同的模組，使攻擊者能夠針對受感染的系統和網路發動高度客製化的攻擊。
ZuoRAT 惡意軟體如何影響網路系統
ZuoRAT 惡意軟體旨在隱藏在 SOHO 路由器的雷達之下。 除了利用這些路由器通常不受管理的事實之外，惡意軟體還使用路由器到路由器的通訊和代理伺服器進行命令和控制 (C2)，這使得檢測惡意軟體或將其追溯到更困難。
除了建構受感染路由器網路之外，ZuoRAT 還可能對組織的網路系統產生各種影響。 該惡意軟體可以竊聽和攔截網路流量，並透過其各種模組，有可能利用惡意軟體的資源和對網路流量的存取來執行其他攻擊，例如密碼噴射或程式碼注入。
如何防範 ZuoRAT 惡意軟體
一些有助於防範這些攻擊的安全最佳實踐包括：
- 裝置清單： ZuoRAT 利用了許多 SOHO 路由器所有者不知道他們擁有什麼裝置的事實，使他們不太可能對主動利用脆弱性的報告做出回應。 維護 IT 裝置的完整庫存有助於確保裝置不會漏掉。
- 修補程式管理： ZuoRAT 利用眾所周知的脆弱性來存取易受攻擊的裝置。 當修補程式和更新可用時立即安裝可以彌補潛在的安全漏洞，防止它們被攻擊者利用。
- 網路安全： ZuoRAT 從事各種惡意行為，包括 MitM 攻擊以及下載惡意模組和其他惡意軟體變體。 網路監控和入侵防禦系統 (IPS)可以幫助偵測和修復這些威脅。
- 網路安全： ZuoRAT 可用於 HTTP MitM 攻擊，將使用者的流量重新導向到其他網站。 Web 安全解決方案可協助識別惡意重新導向並阻止惡意軟體透過網路釣魚頁面傳遞到使用者的裝置。
- 存取管理：此惡意軟體會危害路由器、竊聽流量，並可用於密碼噴射和類似攻擊。 所有這些方法都可以用來破壞使用者憑證，從而使強大的存取管理（包括最小權限存取控制和動態身份驗證）對於防止帳戶接管 (ATO) 攻擊至關重要。
ZuoRAT惡意軟體附有Check Point偵測與保護
ZuoRAT 是一種多功能惡意軟體變體，它利用遠端工作激增的機會，針對突然被託管敏感業務資料的未受保護的小型網路。 透過存取未打補丁的 SOHO 路由器，它獲得了監控網路流量的完美立足點，並從這些通常不受管理的裝置中執行其他攻擊。
到 2023 年，此類技術仍然很常見，這表明網路犯罪分子已經採取了成功的策略。 然而，這只是公司正在應對的眾多安全威脅之一。 請參閱 Check Point 的2024 年網路安全報告，以了解更多有關目前網路安全威脅情勢的資訊。
Check Point’s Check Point Endpoint Security provides companies with the visibility and control required to identify and manage the threats posed by ZuoRAT and other malware variants. Find out more about Check Point Endpoint Security and its prevention-focused approach with a free demo.
