FatalRAT — ещё один троян, использующий Telegram-каналы для распространения

Троян, открывающий операторам удалённый доступ к целевому устройству, распространяется с помощью Telegram-каналов. Как рассказали исследователи из AT&T Alien Labs, пользователи могут наткнуться на ссылки для загрузки вредоноса в новостных каналах, посвящённых софту.

Согласно отчёту специалистов, RAT-вредонос под именем FatalRAT может запускаться на устройстве жертвы удалённо, а также обходить защитные средства.

Попав в систему, FatalRAT записывает нажатия клавиш, собирает информацию об ОС и передаёт все данные операторам по зашифрованному каналу. За последние несколько месяцев эксперты AT&T Alien Labs наблюдали за использованием трояна в реальных атаках, однако они пока не смогли установить хотя бы приблизительное количество жертв вредоносной программы.

Так или иначе, каналы в Telegram помогают FatalRAT охватить немалую аудиторию потенциальных целей. Напомним, что в отличие от групп в Telegram-каналах могут публиковать сообщения только их администраторы, так что вся ответственность за распространение зловреда лежит исключительно на них.

Перед тем как полностью заразить систему, FatalRAT проводит ряд проверок: вредонос пытается вычислить виртуальную машину, посчитать число физических процессов и определить доступное место на диске.

Помимо этого, троян полностью отключает возможность использовать команду CTRL+ALT+DELETE, для чего меняется значение ключа реестра DisableLockWorkstation. После этого вредонос запускает кейлогер.

FatalRAT пытается определить, какие антивирусные программы запущены в атакованной системе, параллельно он вытаскивает информацию из браузеров. Более того, троян может распространяться по сети жертвы, применяя брутфорс.