تروجان دسترسی از راه دور”Remote Access Trojan”یا به اختصار RAT، یک نوع بدافزار است که به مجرم سایبری اجازه میدهد بدون اطلاع صاحب دستگاه، از راه دور به کامپیوتر یا گوشی دسترسی پیدا کند و عملیاتی مانند مشاهده محتوا، کنترل برنامهها و انتقال فایل انجام دهد. هدف RAT گرفتن کنترل پنهانی و استخراج اطلاعات یا سوءاستفادههای دیگر است.
دسترسی از راه دور: مهاجم میتواند صفحه نمایش را ببیند، رفتار کیبورد را ثبت کند و حتی با دوربین یا میکروفون دستگاه کار کند.
ربودن اطلاعات: دادههای حساس مثل نامهای کاربری، رمزها و اطلاعات مالی را جمعآوری و به خارج میفرستد.
نصب سایر بدافزارها: پس از نفوذ، ممکن است بدافزارهای اضافی (مثلاً باجافزار یا کرم) روی سیستم گذاشته شود تا آسیب بزرگتری ایجاد شود.
اجرای دستورها: هکر میتواند فایل اجرا کند، برنامه دانلود یا آپلود کند و تغییرات سیستمی اعمال کند.
RAT چگونه وارد دستگاه میشود؟
طعم فیشینگ و فایلهای آلوده: ایمیلهای فیشینگ، پیوستهای مخرب یا لینکهای تقلبی معمولترین راهها هستند.
دانلود از منابع ناایمن: نصب برنامه از سایتهای غیررسمی یا ابزارهای قفلشکسته ممکن است حامل RAT باشند.
اجرای خودکار و پنهانسازی: پس از اجرا، بدافزار معمولاً خود را طوری تنظیم میکند که با روشن شدن سیستم دوباره فعال شود و حضورش پنهان بماند.
بدافزار به سروری که مهاجم کنترل میکند متصل میشود ، مهاجم از طریق این کانال دستورات ارسال میکند: ضبط صفحه، ثبت کلیدها، انتقال فایل و غیره.
اغلب اطلاعات بهصورت رمزگذاریشده فرستاده میشوند تا کشف توسط ابزارهای دفاعی سختتر شود.
فاششدن دادهها: اطلاعات حساس کاربران یا مشتریان در معرض دزدی قرار میگیرد.
خسارت مالی: برداشت غیرمجاز، کلاهبرداری یا هزینههای بازیابی سیستم میتواند سنگین باشد.
اختلال در عملیات: بهواسطه انتشار بدافزارهای بعدی یا تغییر در سیستمها ممکن است سرویسها مختل شوند.
کاهش اعتماد: افشای داده یا حمله موفق reputational damage برای سازمان به همراه دارد.
مسائل حقوقی: در برخی حوزهها نشت داده میتواند جریمه یا پیگرد قانونی به دنبال داشته باشد.
آنتیویروس: نرمافزارهایی مانند ESET ،اغلب میتوانند نمونههای شناختهشده را شناسایی و حذف کنند.
نظارت بر ترافیک شبکه: اتصالات غیرمعمول به سرورها را با استفاده از نرم افزار هایی به نظیر Sangfor میتوان بررسی کرد.
بررسی فرآیندها: پردازشهای ناشناس یا پروسههایی که حجم CPU/شبکه غیرطبیعی مصرف میکنند را بررسی کنید.
لاگها و هشدارها: گزارشهای سیستم و لاگهای امنیتی را مرتب دنبال کنید.
ابزارهای آنالیز حافظه و فرایندها: ابزارهای تخصصی میتوانند پروسههای مخرب را مشخص کنند.
اقدامات عملی برای پیشگیری و کاهش آسیب
بهروزرسانی سیستم و برنامهها: وصلههای امنیتی را بهموقع نصب کنید.
احتیاط در مقابل ایمیلها و لینکها: هر پیوست یا لینک ناشناس را باز نکنید.
مدیریت دسترسی: حسابها را با کمترین سطح دسترسی تنظیم کنید و از احراز هویت چندمرحلهای استفاده کنید.
پشتیبانگیری منظم: بکاپهای آفلاین (غیرقابل دسترسی مستقیم از شبکه) داشته باشید.
فایروال و سیاستهای شبکه: ارتباطات خروجی مشکوک را محدود کنید و ترافیک را بهصورت گروهی کنترل کنید.
آموزش کارکنان: آموزش تشخیص فیشینگ و رفتارهای مشکوک برای کاربران ضروری است.
تشخیص تهدید: موتورهای تشخیص ESET میتوانند نمونههای شناختهشده و رفتارهای مشکوک را شناسایی کنند (شامل اسکن فایلها، مکانیسمهای مبتنی بر رفتار و بلاک کردن ارتباطات مخرب).
حفاظت از نقاط انتهایی: با نصب روی ایستگاهها و سرورها، اجرای فایلهای مخرب یا تلاش برای ایجاد اتصال C&C را متوقف میکند.
کنترل دستگاه و وب: قابلیتهای کنترل دستگاههای خارجی (USB) و مسدودسازی سایتهای مشکوک به کاهش مسیرهای نفوذ کمک میکنند.
واکنش سریع و قرنطینه: فایلها یا فرآیندهای مظنون را قرنطینه کرده و از گسترش تهدید جلوگیری میکند.
مدیریت متمرکز ESET Protect امکان مشاهده و ، اعمال سیاستها و اجرای اسکنهای زمانبندیشده را فراهم میسازد که برای سازمانها مفید است.
جلوگیری از نشت داده (DLP) Safetica میتواند جریان دادههای حساس را زیرنظر بگیرد و جلوی ارسال غیرمجاز اطلاعات به خارج از سازمان را بگیرد، که اگر RAT بخواهد اطلاعات را بیرون بفرستد، این لایه میتواند آن را مسدود کند.
کنترل فعالیت کاربران: فعالیتهایی مثل کپی/چسباندن، آپلود به سرویسهای ابری و استفاده از حافظههای خارجی قابل پایش و کنترل است.
گزارش و پاسخگویی: لاگهای دقیق از رفتارهای کاربران و انتقالهای فایل فراهم میشود که تشخیص زودهنگام را سادهتر میکند.
سیاستگذاری بر اساس حسایت داده: میتوان قواعدی تعریف کرد که اطلاعات مهم (شماره کارت، کدهای شناسایی، فایلهای محرمانه) تحت هیچ شرایطی خارج نشوند.
ترکیب ESET و Safetica یک رویکرد چندلایه ایجاد میکند: ESET بهعنوان محافظ فعال نقاط انتهایی و سد ابتدایی عمل میکند؛ Safetica از دید دادهای جلوی نشت اطلاعات و سوءاستفاده در داخل شبکه را میگیرد.
توصیههای فوری در صورت شک به آلودگی توسط RAT
شبکه را ایزوله کنید: دستگاه مظنون را از شبکه جدا کنید تا از ارسال اطلاعات یا انتشار به دیگر سیستمها جلوگیری شود.
لاگها را ذخیره و بررسی کنید: لاگهای شبکه و سیستم را برای تحلیل نگه دارید.
بازگردانی از پشتیبان: اگر شواهد قوی آلودگی وجود دارد، سیستم را پاکسازی و از بکاپ معتبر بازیابی کنید.
اطلاعرسانی داخلی: تیم امنیتی و ذینفعان را مطلع کنید تا اقدامات مقابلهای هماهنگ انجام شود.
جمعبندی: