Обзор и происхождение
SeroRAT — семейство вредоносного ПО для Windows, сочетающее свойства удалённого доступа (RAT) и ботнета: заражённые машины подключаются к серверу управления (C2) и ожидают команд оператора. Семейство фигурирует в открытых базах индикаторов под собственной подписью SeroRAT; Malpedia ведёт для него страницу в Windows-разделе, что подтверждает его признание как самостоятельного семейства, а не разового билда. Публичных данных об алиасах и явной связи с крупными экосистемами (например, семействами класса AsyncRAT/Remcos) в доступных источниках нет — родство с другими проектами остаётся предметом проверки.
Целевая среда — пользовательские и корпоративные рабочие станции Windows. Как и для большинства RAT-семейств «коммерческого» типа, вероятная модель — массовое или полуцелевое распространение через фишинг и вредоносные вложения с последующим использованием доступа для кражи данных, развёртывания вторичной нагрузки или аренды доступа. Наличие записей в базах IOC указывает на активную эксплуатацию семейства на момент подготовки профиля.
Функциональные модули
Публичные технические описания SeroRAT ограничены; ниже — типовой для этого класса набор возможностей, который следует проверять на конкретных образцах:
- Канал C2 и командный цикл. Поддержание связи с сервером управления по сетевому протоколу (в наблюдаемых индикаторах фигурирует пара ip:port, что указывает на прямое TCP-подключение к C2), периодический опрос и исполнение команд.
- Удалённое управление. Выполнение команд оболочки, управление файловой системой, съёмка экрана, наблюдение за процессами — стандартный функционал RAT-компонента.
- Загрузка вторичной нагрузки. Возможность доставки и запуска дополнительных модулей по команде с C2, что превращает заражённый хост в узел ботнета.
- Закрепление. Обеспечение автозапуска после перезагрузки (механизм в исследованных материалах не задокументирован — см. раздел ограничений).
- Сбор информации о хосте. Идентификация машины, учётной записи и окружения для регистрации бота в сети.
Техники и API
Достоверных сведений о конкретных API-вызовах, ключах реестра или алгоритмах шифрования, используемых SeroRAT, в открытых источниках недостаточно. Для семейств класса RAT/ботнет типичны: создание процессов через CreateProcess/ShellExecute, закрепление через Run-ключи реестра или запланированные задачи, инъекция кода в легитимные процессы, шифрование трафика (AES/RC4 поверх TCP или HTTP). Эти паттерны следует рассматривать как гипотезы для проверки, а не как подтверждённые факты о SeroRAT.
IOC и индикаторы
В открытых базах индикаторов для семейства зарегистрированы две записи: хэш SHA256 исполняемого файла (категория payload) и пара ip:port сервера управления (категория botnet_cc), обе с тегом SeroRAT. Конкретные значения в аналитический текст не включаются; карточки образцов и ссылки на источники добавляются ниже средствами рендерера. Практический вывод для мониторинга: детектировать и блокировать прямые TCP-подключения рабочих станций к внешним адресам на нестандартных портах, если они коррелируют с процессом, запущенным из пользовательских каталогов.
Обнаружение
- Сетевая телеметрия: исходящие соединения от подозрительных процессов к внешним ip:port-индикаторам; устойчивые периодические подключения, характерные для ботов.
- Процессная телеметрия: исполняемые файлы, запускаемые из %APPDATA%, %TEMP% или каталогов пользователя; процессы с двойным расширением или запущенные из вложений почтового клиента.
- Закрепление: новые записи автозапуска (Run-ключи, запланированные задачи, папка Autostart) после появления неизвестного исполняемого файла.
- EDR: алерты на исполнение неподписанного кода с последующей сетевой активностью; поведенческие правила на «процесс → исходящее соединение → ожидание команд».
- YARA/сигнатуры: ориентироваться на семейные признаки (строки конфигурации, структура протокола), а не на побайтовые совпадения — для RAT-семейств билды часто различаются.
Защита и снижение риска
- Блокировать исполнение файлов из пользовательских каталогов и вложений почты средствами application control (WDAC/AppLocker).
- Ограничить исходящие подключения рабочих станций через egress-фильтрацию; оповещать о соединениях с нестандартными портами.
- Включить блокировку макросов из интернета и вложений Office с внешними связями.
- Обеспечить полный охват конечных точек EDR с отправкой телеметрии в SIEM.
- Обучать пользователей распознаванию фишинга — основной путь доставки для RAT-семейств.
- Сегментировать сеть, чтобы компрометация одной рабочей станции не давала доступ к критичным ресурсам.
Что делать при подозрении на заражение
- Изолировать хост от сети, сохранив возможность сбора телеметрии.
- Зафиксировать запущенные процессы, сетевые соединения, записи автозапуска и события EDR до очистки.
- Проверить связь с известными ip:port-индикаторами семейства и сопоставить хэши исполняемых файлов с базами IOC.
- Исходить из возможности удалённого управления: оценить использование учётных данных с этого хоста, проверить привилегированные аккаунты и возможное горизонтальное перемещение.
- При подтверждении компрометации — ротация паролей и отзыв сессий учётных записей, использовавшихся на хосте.
- Удалить подтверждённые артефакты (файлы, закрепление, задачи); если целостность системы установить нельзя — переустановить ОС.
- Провести поиск по всей среде по индикаторам и поведенческим паттернам для выявления других заражённых машин.
Ограничения текущего анализа
Открытые источники для SeroRAT содержат преимущественно регистрационные данные: подпись семейства, IOC (хэш payload и адрес C2) и связь с Malpedia. Подробное техническое описание — реализация, язык разработки, конкретные команды C2, механизм закрепления, шифрование трафика, цепочка доставки — в доступных материалах не раскрыто и требует статического и динамического анализа образцов. Приведённые в разделах модулей и техник сведения о типичных для класса RAT/ботнет возможностях следует рассматривать как проверочные гипотезы, а не подтверждённые факты о семействе. Данные о географии кампаний, целевых отраслях и связи с другими семействами также отсутствуют.
Скачать образцы
Скачать образцы можно здесь:
Просмотр скрытого контента доступен зарегистрированным пользователям!
Источники
История обновлений статьи
- 11.10.2026 — Опубликована первая версия материала.
