威脅攻擊者正在大量部署一種名為 "Rafel RAT "的開(kāi)源惡意軟件，攻擊”過(guò)時(shí)“安卓設(shè)備。Check Point 安全研究人員 Antonis Terefos 和 Bohdan Melnykov 表示，共檢測(cè)到超過(guò) 120 個(gè)使用 Rafel RAT 惡意軟件的網(wǎng)絡(luò)攻擊活動(dòng)。

據(jù)悉，Rafel RAT 惡意軟件的攻擊目標(biāo)主要是政府和軍事部門，大多數(shù)受害者位于美國(guó)、中國(guó)和印度尼西亞。其中一些攻擊活動(dòng)是由 APT-C-35（DoNot Team）等知名勒索軟件組織發(fā)起，伊朗和巴基斯坦疑似為惡意活動(dòng)的源頭。

Rafel RAT 惡意軟件目標(biāo)品牌和型號(hào)非常廣泛，包括三星 Galaxy、谷歌 Pixel、小米紅米、摩托羅拉 One 以及 OnePlus、vivo 和華為的設(shè)備。

Check Point 分析大量網(wǎng)絡(luò)攻擊活動(dòng)后發(fā)現(xiàn)，受害者運(yùn)行的安卓版本已達(dá)到生命周期終點(diǎn)（EoL），其中 87.5% 運(yùn)行安卓 11 及以上版本，只有 12.5% 的受感染設(shè)備運(yùn)行 Android 12 或 13。鑒于很多”過(guò)時(shí)“版本不再接受安全更新，因此容易受到已知/已發(fā)布漏洞的攻擊。

Rafel RAT 勒索軟件

惡意軟件傳播途徑多種多樣，威脅攻擊者通常會(huì)濫用 Instagram、WhatsApp、電子商務(wù)平臺(tái)或殺毒應(yīng)用程序等知名品牌，誘騙人們下載惡意 APK。

捆綁 Rafel RAT 安裝程序的虛假應(yīng)用程序（來(lái)源：Check Point）

安裝過(guò)程中，Rafel RAT 惡意軟件會(huì)請(qǐng)求訪問(wèn)風(fēng)險(xiǎn)權(quán)限，包括免于電池優(yōu)化，允許在后臺(tái)運(yùn)行。值得一提的是，Rafel RAT 惡意軟件支持的命令因變種而異，但一般包括以下命令：

• 勒索軟件： 啟動(dòng)設(shè)備上的文件加密進(jìn)程;
• wipe： 刪除指定路徑下的所有文件;
• 鎖定屏幕： 鎖定設(shè)備屏幕，使設(shè)備無(wú)法使用;
• sms_oku： 向命令與控制 (C2) 服務(wù)器泄漏所有短信(和 2FA 代碼);
• location_tracker： 向 C2 服務(wù)器泄露實(shí)時(shí)設(shè)備位置。

Rafel RAT 惡意軟件的行動(dòng)由中央面板控制，威脅攻擊者可在此訪問(wèn)設(shè)備和狀態(tài)信息，并決定下一步攻擊步驟。

Rafel RAT 面板上受感染設(shè)備概覽（來(lái)源：Check Point ）

最常發(fā)布的命令（來(lái)源：Check Point ）

Rafel RAT 中的勒索軟件模塊旨在通過(guò)控制受害者的設(shè)備，并使用預(yù)定義的 AES 密鑰加密他們的文件來(lái)執(zhí)行勒索計(jì)劃。

Rafel RAT 的加密方法（來(lái)源：Check Point ）

一旦獲得了受害者設(shè)備的管理權(quán)限，Rafel RAT 勒索軟件就能輕松控制設(shè)備的關(guān)鍵功能，例如更改鎖屏密碼和在屏幕上添加自定義信息（通常是贖金說(shuō)明）。如果用戶試圖撤銷管理權(quán)限，勒索軟件就會(huì)立刻做出反應(yīng)，更改密碼并立即鎖定屏幕。

針對(duì)權(quán)限撤銷企圖的反應(yīng)機(jī)制（來(lái)源：Check Point ）

Check Point 的研究人員檢測(cè)到了幾起涉及 Rafel RAT 勒索軟件攻擊活動(dòng)，其中包括一次來(lái)自伊朗的攻擊，該攻擊在運(yùn)行加密模塊之前使用了 Rafel RAT 的其他功能進(jìn)行偵查。之后，威脅攻擊者很快就清除了通話記錄，更改壁紙以顯示自定義信息，鎖定屏幕，激活設(shè)備振動(dòng)，并發(fā)送包含贖金說(shuō)明的短信，敦促受害者在 Telegram 聯(lián)系威脅攻擊者。

最后，安全專家強(qiáng)調(diào)想要抵御 Rafel RAT 惡意軟件攻擊，請(qǐng)避免從可疑來(lái)源下載 APK，不要點(diǎn)擊電子郵件或短信中嵌入的 URL，并在啟動(dòng)應(yīng)用程序前使用 Play Protect 掃描。

參考文章：https://www.bleepingcomputer.com/news/security/ratel-rat-targets-outdated-android-phones-in-ransomware-attacks/