Семейство: LxBase RAT
Класс: RAT / средство удалённого управления
Раздел: RAT
Основание публикации: свежие наблюдения не старше 5 дней
Первое наблюдение в текущем наборе: 15.09.2026 16:32
Последнее наблюдение в текущем наборе: 17.09.2026 18:54
Образцов в пакете: 0; IOC: 2
Поведение, распространение и защита
Что делает
LxBase RAT представляет собой семейство вредоносного ПО класса Remote Access Trojan (RAT), нацеленное на операционную систему Windows. Основная функциональность, подтверждённая доступными данными, связана с обеспечением удалённого управления заражёнными хостами. В отличие от инфостилеров, ориентированных на быстрый захват данных, или банковских троянов, перехватывающих транзакции, LxBase RAT выступает как инструмент для долгосрочного присутствия в системе с возможностью выполнения команд от оператора. Ключевым аспектом является наличие активной инфраструктуры команд и управления (C2), что подтверждается наличием индикаторов типа ip:port в базах данных угроз.
Точные технические детали реализации (язык, архитектура, конкретные API) для текущего набора данных не подтверждены, так как отсутствуют образцы для детального анализа. Однако, исходя из классификации как RAT, можно предположить наличие модулей для удалённого выполнения команд, сбора информации о системе и, возможно, перехвата ввода. Отсутствие конкретных образцов в текущем пакете доказательств ограничивает возможность детального разбора функциональных модулей, таких как кейлоггер, скриншоттер или менеджер файлов.
Семейство LxBase RAT упоминается в контексте ботнет-активности, что указывает на его использование для создания сетей заражённых машин. Это предполагает наличие механизмов для автоматического подключения к C2-серверам и получения инструкций. Конкретные методы закрепления (persistence) и обхода защитных механизмов (evasion) не могут быть описаны без анализа бинарных файлов.
Отсутствие образцов в текущем пакете означает, что все утверждения о функциональности основаны исключительно на классификации и наличии C2-индикаторов. Любые дополнительные детали о поведении, упаковке или эксфильтрации данных требуют анализа конкретных образцов, которые в данный момент недоступны для верификации.
Технический разбор образцов
В текущем пакете доказательств отсутствуют образцы для отдельного разбора. Поле technical_samples пустое, что означает невозможность проведения детального технического анализа конкретных бинарных файлов.
Так как образцы не предоставлены, невозможно указать формат, MIME-тип, архитектуру, размер, сигнатуры или способ доставки. Также отсутствуют данные о YARA-правилах, vendor intelligence или file_information, которые могли бы подтвердить или опровергнуть гипотезы о реализации вредоносного ПО.
Отсутствие образцов является ключевым ограничением для данного раздела. Без бинарных файлов невозможно провести статический или динамический анализ, который позволил бы выявить конкретные API-вызовы, библиотеки, методы шифрования или поведенческие особенности.
Дождаться поступления образцов для проведения полноценного технического разбора. До этого момента все утверждения о функциональности LxBase RAT остаются на уровне классификации и анализа C2-инфраструктуры.
Как распространяется
Подтверждённые каналы доставки для текущих образцов неизвестны, так как образцы отсутствуют. Типичные для семейства RAT каналы распространения включают фишинговые письма, вредоносные вложения, эксплойты уязвимостей в браузерах или офисных пакетах, а также заражённые веб-сайты.
Наличие C2-индикаторов (ip:port) указывает на активную инфраструктуру, но не раскрывает методы первичного заражения. Без анализа образцов невозможно определить, используются ли легитимные утилиты (LOLBin) для исполнения, или вредонос распространяется через вредоносные вложения.
Отслеживать фишинговые кампании и вредоносные вложения, которые могут содержать LxBase RAT. Также проверять обновления программного обеспечения для предотвращения эксплуатации уязвимостей.
Как обнаружить
- Мониторинг сетевой активности: отслеживание исходящих соединений на подозрительные IP-адреса и порты, особенно те, которые соответствуют типам ip:port, связанным с LxBase RAT.
- Анализ процессов: поиск процессов, которые не имеют легитимного происхождения или используют подозрительные аргументы командной строки.
- Файловая активность: мониторинг создания и модификации файлов в системных каталогах, особенно тех, которые могут использоваться для закрепления.
- Использование YARA-правил: применение правил, специфичных для LxBase RAT, если они доступны в базах данных угроз.
- Поведенческий анализ: отслеживание процессов, которые пытаются подключиться к C2-серверам или выполняют подозрительные операции, такие как перехват ввода или скриншоты.
- Анализ реестра: проверка ключей автозагрузки и других механизмов закрепления, которые могут использоваться для сохранения доступа.
- Сетевые паттерны: идентификация аномальных сетевых паттернов, таких как регулярные соединения с одними и теми же IP-адресами.
- Использование EDR-решений: настройка правил для обнаружения подозрительного поведения процессов, связанного с RAT.
Что делать при заражении
- Изоляция: немедленно изолировать заражённый хост от сети для предотвращения дальнейшего распространения и эксфильтрации данных.
- Сохранение телеметрии: сохранить логи процессов, сетевой активности и файловых операций для последующего анализа.
- Определение затронутых данных: оценить, какие данные могли быть украдены или скомпрометированы, включая учётные данные, файлы и конфигурации.
- Проверка закрепления: проверить механизмы закрепления, такие как ключи реестра, службы и задачи планировщика, и удалить их.
- Оценка использования учётных данных: определить, какие учётные данные могли быть скомпрометированы, и инициировать их ротацию.
- Удаление артефактов: удалить подтверждённые артефакты вредоносного ПО, включая файлы, ключи реестра и службы.
- Переустановка системы: если целостность системы не может быть подтверждена, переустановка операционной системы.
- Мониторинг: после удаления вредоносного ПО продолжить мониторинг системы на предмет повторного заражения.
Как снизить риск
- Регулярное обновление программного обеспечения: поддерживать актуальность операционной системы и приложений для предотвращения эксплуатации уязвимостей.
- Фильтрация электронной почты: использовать фильтры для блокировки фишинговых писем и вредоносных вложений.
- Ограничение прав: предоставлять пользователям минимально необходимые права для снижения риска исполнения вредоносного кода.
- Использование EDR-решений: развертывать EDR-решения для мониторинга и блокировки подозрительной активности.
- Обучение пользователей: проводить обучение пользователей по распознаванию фишинговых писем и других методов доставки вредоносного ПО.
- Сетевая сегментация: сегментировать сеть для ограничения распространения вредоносного ПО в случае заражения.
- Регулярное резервное копирование: выполнять регулярное резервное копирование данных для обеспечения возможности восстановления в случае заражения.
- Мониторинг C2-трафика: отслеживать сетевой трафик на предмет подозрительных соединений с C2-серверами.
Источники
История обновлений статьи
- 19.09.2026 — Опубликована первая версия материала.
