Ermittlern gelingt Schlag gegen RAT-Betreiber

Als Ergebnis einer internationalen Ermittlung gegen Verkäufer und Benutzer von IM-RAT (Imminent Monitor Remote Access Trojan) wurde das Hosting des Hacking-Tools nun abgeschaltet, wie Vectra berichtet.

Das RAT-Tool ermöglichte Cyberkriminellen die vollständige Fernsteuerung des Computers eines Opfers, erklärt der Anbieter von Cybersicherheit auf Basis künstlicher Intelligenz. An der von der australischen Bundespolizei (AFP) geleiteten Operation, deren internationale Aktivitäten von Europol und Eurojust koordiniert wurden, waren zahlreiche Justiz- und Strafverfolgungsbehörden in Europa, Kolumbien und Australien beteiligt. Im Zuge der Ermittlungen wurde die Verfügbarkeit dieses Instruments beendet, das zuvor bereits in 124 Ländern eingesetzt und an mehr als 14.500 Käufer verkauft worden war. IM-RAT kann damit von den Käufern nicht mehr verwendet werden.

Andreas Müller, Director DACH bei Vectra erläutert:

„Remote Access Trojaner (RATs) zählen zu einer Reihe von Angriffstools, die in fremde Systeme, Daten und Privatsphären eindringen. Angesichts eines regen legitimen Fernzugriffs über Netzwerke und Hosts hinweg gibt es für RATs viele Möglichkeiten, unentdeckt zu operieren, da sie sich gut verstecken können.

Es ist zwar erfreulich, dass die Strafverfolgungsbehörden den Verkauf und die Nutzung von RATs durch Kriminelle stoppen, wobei die Wege und Dienste, die RATs nutzen, für viele Unternehmen offenbleiben und schwer zu überwachen sind. Es gibt Signaturen für die gängigsten RATs, aber erfahrene Angreifer können RATs leicht anpassen oder ihre eigenen RATs mit gängigen Remote-Desktop-Tools wie RDP erstellen. Dies wurde durch eine kürzlich durchgeführte Analyse von Live-Unternehmensnetzwerken bestätigt, die ergab, dass die Netzwerke von 90 Prozent der befragten Unternehmen eine Form von bösartigem RDP-Verhalten aufweisen.

Hierbei kamen Modelle des maschinellen Lernens zum Einsatz, die entwickelt wurden, um das einzigartige Verhalten von RATs zu identifizieren. Diese Art der Verhaltenserkennung ist effektiver, anstatt zu versuchen, die Signatur jeder RATs perfekt mit dem Fingerabdruck zu erfassen. Durch die Analyse einer großen Anzahl von RATs kann ein überwachtes maschinelles Lernmodell lernen, wie sich der Verkehr dieser Tools vom normalen legitimen Fernzugriffsverkehr unterscheidet. Auf diese Weise lässt sich RAT-typisches Verhalten ohne vorherige Kenntnis des Angriffs oder des individuellen RAT-Codes erkennen.“

www.vectra.ai