RAT Remote Access Trojan, che cosa sono?

1. Definizione di RAT

2. Come nascono i Remote Access Trojan

3. Comportamento tipico dei Remote Access Trojan

4. Come ci infettano i malware RAT

5. Identificare la presenza di un Remote Access Trojan sul pc

6. Rimuovere un RAT software

7. Difendersi dai Remote Access Trojan

Nuovo anno, nuovi scenari, nuove tecnologie e d’altro canto, anche nuove minacce.

Oggi insieme a voi affronteremo un argomento che ai nostri tecnici sta molto a cuore proprio perché in questi giorni è stato protagonista di alcune vicende che hanno riguardato uno dei social network protagonista di questo frastornato 2021: Telegram. Oggi, finalmente, parleremo di RAT o altresì detto Remote Access Trojan.

L’acronimo RAT in informatica indicata una speciale categoria di malware (ovvero di software malevoli) che si installano su un dispositivo e permettono all’hacker di prendere il controllo di qualsiasi dispositivo come se fossero loro proprietari. Viene chiamato tra i tecnici dell’informatica trojan backdoor.

Ma in che modo agisce questo malware?
Scopriamolo insieme a voi.

Non sappiamo con esattezza l’anno di nascita dei RAT in informatica, quello di cui siamo assolutamente certi è che negli ultimi anni questi programmi malevoli hanno riscosso un certo successo nell’ambiente dei criminali informatici al punto da essere diventati una vera e propria minaccia.

Secondo il rapporto Clusit 2021, infatti i RAT sono la seconda minaccia più pericolosa e diffusa in Italia. Proprio per questo motivo riteniamo sia doveroso mettervi in guardia da ciò che sta succedendo.

La ragione che spinge un hacker a creare un programma Remote Access Trojan (RAT) e diffonderlo, sta proprio nelle potenzialità di questa tecnologia. Pensate che un malware RAT è perfettamente in grado di:

• rubare credenziali
• scaricare nuove risorse dal web senza il controllo dell’utente
• consentire all’hacker di entrare in un sistema informatico
• alterare i privilegi di sistema e ottenere quindi l’accesso alle risorse della rete
• diffondersi a macchia d’olio all’interno di un sistema.

Nel complesso, un hacker che controlla un RAT malware è perfettamente in grado di gestire in autonomia il computer della vittima e sfruttarlo per qualsiasi fine.

Un Remote Access Trojan normalmente si intrufola sul dispositivo della vittima in diversi modi:

• tramite allegato e-mail infetto;
• download presente su siti web
• tramite software free scaricati da web
• all’interno di file .torrent

Dopo i recenti sviluppi possiamo assolutamente confermare che la diffusione dei RAT può avvenire anche tramite chat bot in social network quali Telegram. Se volete approfondire l’argomento, abbiamo pubblicato un articolo sul nostro blog.

Una volta che il RAT risulta installato sul computer attraverso uno dei metodi precedentemente citati, ecco che il malware si serve di una tecnologia client-server per riuscire ad attivarsi e permettere il controllo da remoto. Le componenti che dovete tenere a mente in questo momento sono 3:

• server: componente installata sul computer o dispositivo della vittima;
• client: computer o dispositivo dell’hacker;
• scanner: componente installata sul pc della vittima e ha il compito di rilevare porte aperte sul web allo scopo di avviare le comunicazioni tra hacker e dispositivo.

Il funzionamento di un Remote Access Trojan è tanto semplice quanto geniale.

File server e scanner sono componenti che vengono installati sul computer della vittima tramite unico pacchetto. Lo scanner è lo strumento cardine dell’attacco informatico, come specificato sopra questa componente può essere paragonato al radar dell’hacker. Infatti, quando questo scanner rileva la presenza di porte aperte (ovvero software vulnerabili che permettono di comunicare con l’esterno) avvia la comunicazione tra il dispositivo della vittima (server) e quello dell’hacker (client).

L’installazione di un virus RAT solitamente si verifica in seguito ad una delle seguenti attività:

1. phishing
2. allegato e-mail infetto
3. pacchetto software (free o scaricato da internet)
4. clic su pop-up

Rilevare la presenza di un software RAT all’interno di un dispositivo o in rete è un’impresa ardua dal momento che le funzioni per cui questi programmi vengono sfruttati sono prettamente il monitoraggio dell’utente. I RAT spesso e volentieri possono restare silenti per interi settimane in attesa del momento opportuno.

Ad ogni modo le funzioni che sono connesse alla presenza di un Remote Access Trojan possono essere diverse:

• copia dei file presenti su hark disk
• sottrazione di credenziali (bancarie in particolare)
• registrazione audio e video
• attivazione della webcam a bordo dispositivo

E molto altro ancora: pensate che dal momento che un malware di questa categoria è attivo e funzionante significa che una terza persona ha il pieno controllo del vostro dispositivo e delle sue funzioni.

Non esiste alcuna procedura standard per la rimozione dei Remote Access Trojan dal momento che si tratta di malware di nuova generazione e con sempre nuove funzionalità.

Per rimuovere correttamente un RAT il nostro consiglio è quello di rivolgervi ad un’azienda specializzata in cyber security segnalando il problema e come lo avete constatato. A fianco di tecnici specializzati verrà eseguito il processo di eliminazione del RAT senza impattare sulla sicurezza dell’intero sistema informatico.

Al fine di prevenire un infezione RAT malware esistono delle regole base alle quale attenersi. Questo significa che purtroppo, la buona volontà e i corretti comportamenti non esimono l’azienda dalla necessità di introdurre dei sistemi di sicurezza professionali e mirati.

Come sempre le raccomandazioni del nostro team di tecnici esperti raccomanda:

1. non scaricare materiale di dubbia provenienza da web e e-mail
2. evitare il contatto con file .torrent o .exe
3. diffidate delle richieste di installazione software
4. mantenere aggiornato browser e sistema operativo
5. monitorare la velocità di connessione di rete (se il virus sta trasmettendo dati all’hacker la rete risulterà sovraccarica e quindi rallentata)
6. rimuovere tutti gli strumenti di amministrazione da remoto non approvati dall’azienda
7. introdurre in azienda un sistema di monitoraggio delle vulnerabilità e delle minacce malware.