Remote Access Trojan (RAT) bezeichnet ein Schadprogramm, mit dem Angreifer infizierte Geräte aus der Ferne überwachen und steuern können, und gilt als eine Form des Trojaners neben Backdoor- und Banking-Trojanern.
Auf einen Blick
Die Fernsteuerung kann über eine grafische Oberfläche oder über die Kommandozeile erfolgen: Beim BalkanRAT lief die Fernsteuerung über eine grafische Oberfläche, bei der zugehörigen Backdoor BalkanDoor über die Kommandozeile.
Fernzugriff ist nicht per se schädlich, denn dieselbe Funktionalität wird legitim für Remoteverwaltung und Fernwartung genutzt.
Bei einer bestätigten Infektion sollte laut BSI das gesamte System neu aufgesetzt werden.
Was ist Remote Access Trojan?
Ein Remote Access Trojan stellt Angreifern eine Möglichkeit zur Fernsteuerung des infizierten Geräts bereit. Mit den sogenannten Fakem-RATs konnten Angreifer aus der Ferne auf den PCs der Opfer Ordner durchsuchen, Screenshots anfertigen, Webcams und Mikrofone steuern und Daten abgreifen. Ein weiteres dokumentiertes RAT ist gh0st RAT, dessen Quellcode laut MITRE ATT&CK öffentlich ist und von mehreren Gruppen genutzt wurde. Beim BalkanRAT war der Angreifer nicht an eingebaute Befehle oder seine Programmierkenntnisse beschränkt: Er konnte Aktionen manuell ausführen, was bei einer Backdoor Unmengen an Code bedeuten würde. In der BalkanRAT-Kampagne bedrohten eine Backdoor und ein Remote Access Trojan gemeinsam Unternehmen in der Balkan-Region.
Gelangt ein Remote Access Trojan auf den Rechner eines Mitarbeiters, kann der Angreifer etwa aus der Ferne Ordner durchsuchen, Screenshots anfertigen und Daten eines Versicherers abgreifen. Laut BSI öffnen Schadprogramme mit Backdoor-Funktion eine Hintertür für Cyber-Kriminelle, die einen heimlichen Fernzugriff auf das betroffene System ermöglicht. Dieselbe Technik der Fernsteuerung dient in legitimer Form der Fernwartung und Remoteverwaltung von Computern: Rechner werden dabei von entfernten Orten aus angemeldet und für Reparatur- oder Wartungsarbeiten ferngesteuert.
Wie funktioniert Remote Access Trojan?
Ein Remote Access Trojan kann über E-Mails auf ein Gerät gelangen, die mit Social Engineering arbeiten. Bei der BalkanRAT-Kampagne wurden schädliche E-Mails verschickt, in denen in der Mehrzahl der Fälle Links auf eine ausführbare Datei (.exe) als Links zu einer PDF-Datei getarnt waren. Diese E-Mails verteilten BalkanRAT und BalkanDoor auf den Rechnern der Opfer. Das Ziel des Remote Access Trojans war dort die Bereitstellung einer Kopie einer kommerziellen Remote-Utilities-Software. Die Malware-Tools konnten Ausnahmen zur Firewall hinzufügen, das Fenster und das Taskleistensymbol der Fernwartungssoftware ausblenden und das Vorhandensein aktiver Prozesse im Task-Manager verbergen.
Laut MITRE ATT&CK kann gh0st RAT eine Remote-Shell öffnen, um Befehle auszuführen. Laut MITRE ATT&CK kann gh0st RAT außerdem den Bildschirm des Opfers aus der Ferne erfassen und hat einen Registry-Run-Key hinzugefügt, um Persistenz herzustellen. Die Fakem-RATs tarnten ihre Kommunikation mit dem Angreifer, indem sie gängige Chat-Protokolle wie die von Microsofts oder Yahoos Messenger nachahmten.
Remote Access Trojan im Vergleich
| Kriterium | Remote Access Trojan | Trojaner |
|---|---|---|
| Einordnung | Eine Form des Trojaners | Tritt in mehreren Formen auf, darunter Backdoor-Trojaner, Banking-Trojaner und Remote-Access-Trojaner |
| Kernfunktion | Angreifer können infizierte Geräte aus der Ferne überwachen und steuern | Hängt von der Form ab, etwa versteckter Fernzugriff bei Backdoor-Trojanern oder das Nachladen weiterer Malware |
| Weg auf das System | In der BalkanRAT-Kampagne über schädliche E-Mails mit getarnten Links | Täuschung als nützliches Programm, das Nutzer selbst installieren |
Woran erkenne ich Remote Access Trojan?
| Signal | Woran erkennbar |
|---|---|
| Link, der als PDF-Datei erscheint, aber auf eine ausführbare Datei (.exe) lenkt | In der BalkanRAT-Kampagne waren die Links in der Mehrzahl der Fälle so getarnt |
| Handlungen am Gerät, obwohl der Nutzer es gerade nicht benutzt | Bei Fernsteuerung über eine grafische Oberfläche können Handlungen des Angreifers auffallen, auch wenn der Nutzer den Computer gerade nicht benutzt |
| Neuer, nicht freigegebener Registry-Run-Key für den Autostart | Bei gh0st RAT als Mittel zur Persistenz dokumentiert |
Schutz im Ernstfall
Vorbeugen
- Mitarbeiter anweisen, in unerwarteten E-Mails keine Links und Anhänge anzuklicken, auch bei bekannten Absendern
- Mitarbeiter dafür sensibilisieren, dass Links, die wie PDF-Dateien aussehen, auf ausführbare Dateien führen können
- Verbindlich festlegen, welche Fernwartungssoftware im Unternehmen zugelassen ist
Was tun im Ernstfall
- Das betroffene Gerät vom Netzwerk trennen
- Die interne IT-Sicherheit informieren, bevor Mitarbeiter selbst etwas deinstallieren oder bereinigen
- Zugangsdaten, die auf dem Gerät verwendet wurden, sofort und von einem nicht betroffenen Gerät aus ändern, da der Angreifer Fernzugriff hatte
- Das System anschließend durch die IT-Sicherheit analysieren und neu aufsetzen lassen und Daten erst danach aus geprüften, vor dem Befall erstellten Backups wiederherstellen
Beispiele aus der Praxis
- Die Fakem-RATs gelangten über E-Mails auf die Rechner, die mit Social Engineering arbeiteten.
- Bei der BalkanRAT-Kampagne gingen die Forscher von einer finanziellen Motivation aus, obwohl Backdoors und RATs laut den Forschern gerne für Cyber-Spionage eingesetzt wurden.
- Laut MITRE ATT&CK ist der Quellcode von gh0st RAT öffentlich und wurde von mehreren Gruppen genutzt.
- Ein RAT auf dem Rechner eines Mitarbeiters eines Versicherers kann dem Angreifer etwa erlauben, aus der Ferne Ordner zu durchsuchen, Screenshots anzufertigen und Daten abzugreifen.
Die Varianten im Detail (12)
Fernzugriffs-Trojaner Fernzugriffs-Trojaner ist eine andere Bezeichnung für Remote Access Trojan.
Die deutsche Bezeichnung Fernzugriffs-Trojaner wird verwendet, wenn der englische Begriff vermieden werden soll, etwa in Berichten, Handbüchern oder Warnmeldungen in deutscher Sprache; inhaltlich ist dasselbe Schadprogramm gemeint.
GravityRAT GravityRAT ist ein namentlich bekannter Remote Access Trojan, der Fernzugriff auf befallene Geräte ermöglicht.
GravityRAT gehört als benannte Schadsoftware-Familie zu den Fernzugriffs-Trojanern. Wie andere Vertreter dieser Gruppe verschafft er Angreifern aus der Ferne Zugriff auf befallene Geräte und deren Daten.
JSOutProx-Malware JSOutProx-Malware ist ein namentlich bekanntes, skriptbasiertes Schadprogramm mit Fernzugriffsfunktionen.
JSOutProx-Malware ist eine benannte, skriptbasierte Schadsoftware-Familie aus der Gruppe der Fernzugriffs-Trojaner. Sie verschafft Angreifern Fernzugriff auf infizierte Systeme und deren Daten.
JSSLoader JSSLoader ist ein namentlich bekanntes Schadprogramm, das Fernzugriff auf infizierte Systeme bereitstellt.
JSSLoader ist eine benannte Schadsoftware-Familie, die den Fernzugriffs-Trojanern zugeordnet wird. Sie stellt Angreifern einen Fernzugriff bereit, über den sie infizierte Systeme aus der Ferne steuern können.
Kamera-Spionage Kamera-Spionage bezeichnet das heimliche Aktivieren der Kamera eines Geräts, um Bilder oder Videos abzugreifen.
Kamera-Spionage zählt zu den typischen Überwachungsfunktionen eines Fernzugriffs-Trojaners: Die Angreifer greifen aus der Ferne auf die Kamera zu, ohne dass eine Anzeige oder Zustimmung auf dem Gerät erfolgt.
Loda RAT Loda RAT ist ein namentlich bekannter Remote Access Trojan zur Fernsteuerung infizierter Geräte.
Loda RAT wird als benannte Familie unter den Fernzugriffs-Trojanern geführt und über den Namen von anderen Vertretern der Gruppe unterschieden; er bietet die für diese Schadprogramme üblichen Überwachungsfunktionen.
Mobile-RAT Mobile-RAT ist ein Remote Access Trojan, der auf Smartphones und Tablets statt auf Computern arbeitet.
Mobile-RATs nutzen Funktionen mobiler Geräte wie Kamera, Mikrofon, Nachrichten und Standortdaten für die Überwachung und unterscheiden sich damit von RATs, die auf Desktop-Systeme ausgelegt sind.
QRAT QRAT ist ein namentlich bekannter Remote Access Trojan zur Fernsteuerung infizierter Geräte.
QRAT wird als benannte Schadsoftware-Familie unter den Fernzugriffs-Trojanern geführt; der Name dient dazu, ihn in Analysen und Warnmeldungen von anderen RAT-Familien zu unterscheiden.
Remote Access Trojaner Remote Access Trojaner ist eine andere Schreibweise für Remote Access Trojan.
Die Form mit der Endung -er folgt der deutschen Wortbildung, bei der Trojaner die Person oder Sache bezeichnet; sie erscheint in Fließtexten und Suchanfragen neben der Schreibweise ohne Endung.
XtremeRAT XtremeRAT bietet unter Windows Dateizugriff, Tastaturmitschnitt und Fernsteuerung und ist langjährig bekannt.
XtremeRAT gehört zu den langjährig bekannten Fernzugriffs-Trojanern und bietet Funktionen wie Dateizugriff, Tastaturmitschnitt und Fernsteuerung. Er wird als eigene Schadsoftware-Familie geführt.
Xworm-RAT Xworm-RAT ist ein namentlich bekannter Remote Access Trojan zur Fernsteuerung infizierter Systeme.
Xworm-RAT wird als benannte Familie unter den Fernzugriffs-Trojanern geführt; die Bezeichnung dient dazu, ihn in Berichten von anderen Schadprogrammen mit Fernzugriffsfunktionen zu unterscheiden.
Yellow Cockatoo Yellow Cockatoo ist die Bezeichnung für eine Bedrohung im Umfeld von Fernzugriffs-Trojanern.
Der Name Yellow Cockatoo steht für eine von Sicherheitsforschern benannte Bedrohung, die mit einem Fernzugriffs-Trojaner in Verbindung gebracht wird; ob damit Malware oder eine Kampagne gemeint ist, hängt vom Bericht ab.
Häufiger Irrtum
Mythos „Ein Remote Access Trojan nutzt nie kommerzielle Software, sondern nur eigens entwickelten Schadcode.“
Richtig Remote Access Trojans sind nicht auf eigens entwickelten Schadcode beschränkt: In der BalkanRAT-Kampagne war das Ziel des Remote Access Trojans die Bereitstellung einer Kopie einer kommerziellen Remote-Utilities-Software. Diese Software stellt den Remotezugriff auf einen Computer her oder wird für die Remoteverwaltung gebraucht.
