LabubaRAT 伪装成 NVIDIA 软件控制 Windows 主机

网络安全研究人员标记了一个此前未被记录的、基于 Rust 的远程访问木马（RAT），代号 LabubaRAT，它伪装成 NVIDIA 软件以融入目标环境。

"LabubaRAT 为实际操作活动创建了一个可重复使用的立足点，"Blackpoint Cyber 研究人员 Sam Decker 和 Nevan Beal 在今天发布的分析报告中表示。"一旦部署，它可以对主机进行画像、识别安全工具、接收操作员命令、移动文件、捕获屏幕截图，并通过受影响系统代理流量。"

该植入程序还支持多种通信方式，包括 HTTPS、WebView2 和 DNS 隧道，使得攻击者即使在某个通信路径被检测并关闭的情况下，也能保持对受感染主机的访问。有一些迹象表明 LabubuRAT 正以恶意软件即服务（MaaS）模式提供。

攻击链的起点是一个名为"nvidia-sysruntime.exe"的可执行文件，它冒充 NVIDIA 的容器运行时工具包。该样本并未硬编码其命令与控制（C2）信息，而是通过命令行参数接受运行时配置。

这使得攻击活动的操作者能够定义与远程服务器建立通信所需的各种参数，包括服务器详细信息（"pipicka[.]xyz"）和植入程序使用的轮询间隔。或者，攻击者也可以以单个 Base64 编码参数的形式提供这些值。

"由于这些值是在启动时提供的，相同的编译后二进制文件可以重复用于不同的基础设施、组织或攻击活动分组，而无需依赖硬编码的服务器，"研究人员指出。

然后，配置被存储在本地 SQLite 数据库中，之后它会执行发现操作，以盘点主机上安装的 Web 浏览器和安全产品列表，特别检查是否存在 Google Chrome、Mozilla Firefox、Microsoft Edge、Brave、Microsoft Defender、CrowdStrike、SentinelOne、Carbon Black、Sophos、Malwarebytes、Bitdefender、ESET、Kaspersky、McAfee、Symantec 和 Trend Micro。

此外，它还会收集主机名、RAM 大小、CPU 型号和 Windows 用户账户控制（UAC）状态，作为为下一阶段准备环境的一种方式，因为某些 RAT 功能可能取决于系统上存在的安全工具。

一旦启动，LabubaRAT 支持广泛的功能，例如命令执行、PowerShell 执行、JavaScript 执行、屏幕截图捕获、文件上传和下载、归档处理以及 SOCKS5 代理支持。

"这些能力为操作者提供了足够的控制权，可以与主机交互、将文件移入和移出环境、通过系统路由流量，并在不依赖单独的加载程序或范围狭窄的后续工具的情况下保持访问权限，"Blackpoint Cyber 表示。

该恶意软件的命名参考了与其 C2 基础设施相关的"LabubaPanel"标题以及一个 Labubu 主题的 favicon。

"该样本将运行时配置、本地状态、主机画像、多种通信路径和操作员任务分配结合成一个完整的远程访问工具，"Blackpoint Cyber 表示。"该恶意软件为操作者提供了一种实用的方式来注册主机、了解每个代理周围的环境、执行命令、移动文件、捕获屏幕截图、代理流量以及维护用户级别的自动启动。"

"LabubaPanel 品牌提供了最清晰的外部命名线索，但更重要的发现是其背后的框架式结构：一个基于 Rust 的 RAT，旨在跨多个部署进行配置、注册和操作。"