njRAT: um trojan de acesso remoto bastante utilizado por vários cibercriminosos

njRAT é um trojan de acesso remoto (RAT), ou seja, um programa malicioso que pode permitir a um atacante controlar remotamente um computador comprometido e executar várias ações. As primeiras detecções do njRAT foram registradas no Oriente Médio em 2012, provavelmente o lugar onde foi criado, juntamente com outra variante da ameaça conhecida como njw0rm, também desenvolvida pelo mesmo criador. Os produtos ESET detectam essa ameaça como MSIL/Bladabindi.

njRAT ou njw0rm?

Embora algumas publicações se refiram às duas ameaças como o mesmo malware, em alguns casos o njw0rm é descrito como uma variante que se acredita ter sido desenvolvida pelo mesmo criador do njRAT, incorporando a funcionalidade de reprodução automática por meio de unidades USB removíveis. Ao contrário, o njRAT não pode reproduzir-se automaticamente.

njRAT usado como um modelo de malware

O código-fonte do njRAT, juntamente com o programa que o configura, foi exposto em fóruns da dark web por volta de 2013, embora alguns desenvolvedores de malware já o estivessem usando para criar versões novas, aprimoradas ou modificadas com outros nomes. Algumas dessas variantes foram utilizadas tanto para campanhas em massa quanto em ataques dirigidos a indivíduos ou organizações por cibercriminosos e grupos APT.

Um exemplo disso foi a Operação Spalax, uma campanha direcionada a orgãos governamentais e empresas na Colômbia na qual os criminosos utilizaram a versão 0.7.3 desse RAT, também conhecida como Lime, que inclui recursos como DDoS ou criptografia de ransomware.

Desde o seu vazamento, a popularidade do njRAT como modelo de malware não diminuiu e a ameaça provavelmente se tornou o trojan de acesso remoto mais prevalente e acessível, considerando a quantidade de informações e tutoriais que existem na web. Por isso, o njRAT é frequentemente referido como um RAT commodity.

Vimos vários códigos maliciosos que reutilizam o código do njRAT, especialmente suas funcionalidades para receber e enviar informações para seus servidores de Controle & Comando e de keylogging, que embora não sejam particularmente sofisticados, permite que qualquer desenvolvedor os utilize.

Um caso interessante ocorreu em uma recente campanha de malware que os pesquisadores da ESET batizaram de Janeleiro. A ameaça trata-se de um trojan bancário que está sendo utilizado em campanhas direcionadas a usuários corporativos no Brasil e cujo principal malware é uma adaptação em .NET do código-fonte do NjRAT. O interessante deste caso é que o Janeleiro conta com as mesmas características de outros trojans bancários da América Latina que analisamos anteriormente: o uso de pop-ups falsos para se fazer passar pela página de um banco que a vítima estava tentando acessar. No entanto, ao contrário dos trojans bancários que normalmente operam na região, todos são desenvolvidos na linguagem de programação Delphi.

Ao relatar que o njRAT foi utilizado para algum tipo de ataque ou campanha, é bastante comum que os pesquisadores estejam se referindo a uma variante modificada, e que em muitos casos não apresente características notáveis ​​(ao contrário do caso do Janeleiro, por exemplo) que sejam importantes para documentar ou reservar para um determinado tipo de detecção, portanto, costuma-se usar o nome de Bladabindi ou njRAT de forma genérica para esse tipo de variante.

Principais características do Trojan njRAT

Estas são algumas das principais características do njRAT original:

• Desenvolvido na linguagem de programação C#
• Captura de tela, captura de câmera e áudio
• Captura de pressionamento de teclas (keylogging)
• Persistência no registro do Windows
• Manipulação, download, extração e execução de arquivos
• Manipulação do registro do Windows
• Roubo de credenciais
• Adiciona uma exceção no Firewall do Windows para poder se comunicar
• Conexão com o servidor C&C via Socket TCP e dados codificados em Base64

Para complementar, a seguinte tabela do MITER ATT&CK lista algumas técnicas que foram usadas nas variantes do njRAT.