Обзор и происхождение
Collection RAT — семейство вредоносного ПО класса RAT (Remote Access Trojan) для Windows, обеспечивающее оператору удалённый контроль над заражённой рабочей станцией. Семейство зафиксировано в Malpedia (запись win.collection_rat), а в базе ThreatFox присутствуют IOC-записи, идентифицирующие полезную нагрузку семейства. Открытых подробных публикаций о семействе немного, поэтому часть сведений ниже опирается на общие для коммерческих RAT-платформ характеристики и требует подтверждения при разборе конкретных образцов.
Основная цель — скрытое удалённое управление: выполнение команд, работа с файловой системой, съём снимков экрана, кража учётных данных и, в ряде реализаций, кейлоггинг. Целевая среда — пользовательские и корпоративные рабочие станции Windows; в корпоративном секторе главная опасность — использование RAT как точки закрепления для дальнейшего перемещения по сети.
Функциональные модули
- Удалённый командный канал: связь с C2-сервером, приём и исполнение команд, передача результатов; типично по HTTP(S) или через собственный TCP-протокол.
- Файловый менеджер: просмотр, загрузка, скачивание и удаление файлов на заражённой машине.
- Сбор данных: перечисление процессов, системной информации, установленных программ; в ряде сборок — кейлоггер и перехват содержимого буфера обмена.
- Закрепление: обеспечение автозапуска после перезагрузки (типично через задачи планировщика или ключи автозагрузки реестра).
- Дополнительные нагрузки: возможность докачки и запуска вторичных модулей, что превращает RAT в канал доставки других семейств.
Техники и API
Для защиты стоит мониторить характерные для RAT-класса паттерны: обращение к Windows API перечисления процессов и окон (CreateToolhelp32Snapshot, EnumWindows), чтение нажатий через GetAsyncKeyState/GetKeyboardState, съём экрана через GDI (GetDC/BitBlt), манипуляции автозагрузкой (RegSetValueEx в Run-ключах, SchTasks.exe для создания задач), а также внедрение или запуск вторичных полезных нагрузок через CreateRemoteThread/Process Hollowing — конкретные механизмы в доступных материалах не подтверждены и требуют статического анализа.
IOC и индикаторы
ThreatFox содержит три IOC-записи для семейства: хеши MD5, SHA1 и SHA256, категория «payload» — то есть индикаторы идентифицируют сами образцы полезной нагрузки. Сырые значения в текст не включаются; карточки образцов при наличии предоставляются ниже блоком рендерера. Дополнительно стоит отслеживать C2-домены и IP, связанные с семейством, по обновлениям открытых баз.
Обнаружение
- EDR/процессы: подозрительные процессы с сетевой активностью к редким внешним узлам, запуск из пользовательских каталогов (AppData, Temp), несоответствие родительских процессов.
- Реестр/планировщик: новые значения в Run/RunOnce, создание задач планировщика неизвестными процессами.
- Сеть: устойчивые периодические соединения (beacon) по HTTP(S) к инфраструктуре, отсутствующей в легитимных списках; сопоставление с TI-фидами.
- Сигнатуры: YARA-правила по строкам конфигурации, строкам команд C2 и характерным строкам семейства в PE-файлах; сверка хешей с базами ThreatFox/MalwareBazaar.
Защита и снижение риска
- Ограничение запуска исполняемых файлов из пользовательских каталогов через AppLocker/WDAC.
- Блокировка исходящих соединений рабочих станций по белым спискам, проксирование и инспекция TLS-трафика.
- Своевременные обновления ОС и браузеров; ограничение прав пользователей без локального администратора.
- EDR в режиме блокировки с политиками обнаружения внедрений и кейлоггинга.
- Фишинг-устойчивая почтовая фильтрация и обучение пользователей, поскольку типичный путь доставки RAT — фишинг и вредоносные вложения.
- MFA с защитой от перехвата сессий и мониторинг аномальных входов.
Что делать при подозрении на заражение
- Изолировать хост от сети, сохранив телеметрию EDR.
- Зафиксировать запущенные процессы, сетевые соединения, задачи планировщика и автозагрузку.
- Исходить из возможности удалённого управления: оценить использование учётных данных, проверить входы под учётными записями пользователя, при необходимости сменить пароли и отозвать сессии.
- Проверить соседние хосты на аналогичные индикаторы — RAT часто используется для горизонтального перемещения.
- Найти и удалить подтверждённые артефакты (исполняемые файлы, задачи, ключи автозагрузки).
- Если целостность системы нельзя подтвердить — переустановить ОС.
- Отправить собранные индикаторы в SIEM и на обмен угрозами для блокировки инфраструктуры.
Ограничения текущего анализа
Доступные открытые материалы подтверждают существование семейства и наличие хеш-индикаторов полезной нагрузки, но не содержат детального разбора кода. Не подтверждены: конкретный протокол C2, механизмы закрепления, набор модулей в актуальных сборках, методы внедрения и точные пути доставки. Эти сведения требуют статического и динамического анализа образцов; утверждения о модулях и техниках выше следует рассматривать как типовые для класса и проверять на конкретных образцах.
Источники
История обновлений статьи
- 07.10.2026 — Опубликована первая версия материала.
