NjRAT

Was ist NjRAT?

NjRAT ist ein Fernzugriffswerkzeug, dessen Quellcode online veröffentlicht wurde und das Bedrohungsakteure deshalb an eigene Zwecke anpassen können. Ein RAT erlaubt es einem Angreifer außerdem, auf dem kompromittierten Computer verschiedene Aktionen auszuführen. Weil der Quellcode online geleakt wurde, gilt NjRAT als sogenanntes Commodity-RAT, und Bedrohungsakteure im Nahen Osten haben die Malware eingesetzt. Die Malware wird zudem als Bladabindi und LV geführt; Njw0rm wird in einigen Quellen als spätere Variante beschrieben, die sich zusätzlich selbstständig über USB-Laufwerke weiterverbreiten kann. Zu den Funktionen zählen Keylogging, Zugriff auf Mikrofon und Webcam, der Diebstahl von Zugangsdaten und die Dateiverwaltung. Auch Kryptowährungen können damit gestohlen werden.

Gelangt NjRAT auf einen Windows-Rechner eines Versicherers, kann der Angreifer das System fernsteuern, Tastatureingaben aufzeichnen, Zugangsdaten stehlen, Dateien übertragen und Webcam oder Mikrofon aktivieren. Die Verbreitung kann über Phishing-E-Mails, Drive-by-Downloads und USB-Autorun-Exploits erfolgen. Gestohlene Informationen, Screenshots und weitere Systemdaten gehen dabei über die Command-and-Control-Infrastruktur an den Angreifer. Eine dokumentierte Kampagne verwendete NjRAT als letzte Nutzlast, mit der Angreifer unter anderem Screenshots erstellen, eine Reverse Shell öffnen sowie Prozesse, Registry und Dateien manipulieren konnten.

Wie funktioniert NjRAT?

NjRAT tarnt sich nach der Infektion auf dem Windows-Rechner und stellt dem Angreifer Funktionen für die Fernsteuerung zur Verfügung. Die Malware kann die Namen echter Windows-Dateien kopieren, um unentdeckt zu bleiben, und Code in reguläre Windows-Prozesse wie svchost.exe einschleusen. Zusätzlich kann sie die Windows-Firewall so ändern, dass sie selbst kommunizieren darf. Verteilt wurde die Malware unter anderem über Spam-E-Mails mit gefälschten Zahlungsbelegen, Rechnungen und Angebotsanfragen; der Zugriff kann auch über eine Sicherheitslücke oder Wechselmedien wie USB-Laufwerke erfolgen.

Anschließend führt die Malware Befehle auf dem infizierten Rechner aus, zeichnet Tastatureingaben auf und kann in Webbrowsern gespeicherte Passwörter auslesen. Über ein Dateiverwaltungsmodul lässt sich das Dateisystem durchsuchen; Screenshots und weitere Systeminformationen werden an die Infrastruktur des Angreifers übertragen. Je nach Kampagne unterscheidet sich der Weg: In einer dokumentierten Kampagne lud ein verschleiertes VBS-Skript die Malware von einem kompromittierten oder gefälschten Host nach.

Woran erkenne ich NjRAT?

Schutz im Ernstfall

Vorbeugen

• Autorun für USB-Geräte deaktivieren.
• Updates für Windows, Browser und .NET-Frameworks priorisieren, damit Angriffswege über Sicherheitslücken geschlossen werden; Sicherheitslösungen aktuell halten.
• Mehrfaktor-Authentifizierung durchsetzen.
• Unerwartete Anhänge und Links in E-Mails nicht öffnen, auch bei bekannten Absendern.

Was tun im Ernstfall

• Das betroffene Gerät vom Netzwerk trennen.
• Den Vorfall sofort der IT-Sicherheit melden.
• Zugangsdaten, die auf dem Rechner verwendet wurden, sofort ändern, und zwar von einem nicht betroffenen Gerät aus.
• Das System durch die IT-Sicherheit analysieren und neu aufsetzen lassen; Daten erst danach aus Sicherungen, die vor der Infektion erstellt wurden, wiederherstellen.