Rapid7 的研究人员发现了一个使用 LodaRAT 的新活动，这是一个著名的远程访问工具 (RAT)，自 2016 年以来一直很活跃。LodaRAT 最初是为收集信息而开发的，一直被用于网络间谍和数据窃取，但最新的活动显示，它的传播范围和能力都出现了惊人的扩张，使其成为一种全球性威胁。

LodaRAT 的最新变种扩大了其攻击范围，目标是 Microsoft Edge 和 Brave 浏览器的 cookies 和凭证。Rapid7 强调指出：”新的恶意软件家族不断涌现，更新花样繁多，而 LodaRAT 自 2021 年以来基本保持不变，但仍在全球范围内传播和感染系统。其核心设计的简洁性使攻击者无需进行重大修改就能保持其有效性。”

LodaRAT 的持久能力使其成为一个重大威胁。它通过钓鱼邮件、漏洞利用以及最近的 DonutLoader 和 CobaltStrike 等方式传播，这两种方式都以逃避检测而著称。

该恶意软件现在伪装成 Discord、Skype 和 Windows Update 等流行应用程序，诱骗用户下载。与以往以地区为重点的活动不同，这次的迭代是不加区分的，受害者遍布全球。据 Rapid7 观察，VirusTotal 上传的样本中约有 30% 来自美国。

图片 Rapid7

安装后，LodaRAT 会通过修改系统注册表或创建计划任务来建立持久性。该版本的 LodaRAT 能够从现代网络浏览器中窃取凭证并执行以下操作：

• 屏幕捕获并将图像保存在隐藏目录中，以逃避检测
• 麦克风和网络摄像头录音，并将捕获的媒体传输到命令与控制（C2）服务器
• 创建新用户账户并禁用 Windows 防火墙
• 利用 SMB 协议的横向移动能力感染网络内的其他系统

Rapid7 发现，该恶意软件 “试图连接到端口 445 上的内部 IP”，以传播到其他设备，这表明其危害组织网络的潜力在增加。Rapid7 警告说：“最近的活动……证明了在没有重大更新的情况下，小的调整也能保持恶意软件的有效性”。

为应对这一威胁，Rapid7 建议在所有端点实施强大的检测覆盖范围，并建议使用其 Insight Agent 监控可疑进程并发出警报。安全团队还应对 LodaRAT 的破坏指标（IOC）保持警惕，并采用强大的身份验证和网络安全措施来降低凭证被盗的风险。