北京
安全分析師追蹤一個名為nvidia?sysruntime.exe的文件時，發現它并不是NVIDIA的合法組件。這個無簽名的64位可執行文件把自身描述為“NVIDIA Container Runtime Monitor”，偽造的版本信息直接引用了NVIDIA Corporation和NVIDIA Container Toolkit。它還創建了一個名為Local\NVIDIAContainerMonitor_SingleInstance的互斥體，并在本地建立一個SQLite數據庫nvctr_sys.db來存儲注冊數據和運行時狀態。然而，暴露真相的線索就藏在編譯信息里：PE時間戳指向2026年6月17日，Rust構建路徑中反復出現一個叫“funt”的用戶名。這些細節讓Blackpoint Cyber的對手追擊小組（APG）認定，這是名為LabubaRAT的全新遠控植入物。
正方觀點認為，這種偽裝已足夠精巧，可以在企業環境中潛伏多時。它不像硬編碼C2的傳統木馬，而是通過命令行參數或ZM_前綴的環境變量靈活接收運行配置，啟動時用–b參數傳遞組織名、分組名、服務器和API密鑰。APG解碼的實際部署顯示，組織名為“luxespa”，分組為“rabbit”，C2服務器指向pipicka[.]xyz。同一份二進制文件可以服務多個“客戶”，內嵌幫助文本中的示例分組名還有“sauna”和“vip?chair”，呈現出明顯的“惡意軟件即服務”結構。這種按需定制能力讓攻擊者可以像訂制SaaS工具一樣快速分發作案。
反方則指出，低質量的操作安全會讓精心布置的偽裝功虧一簣。PE時間戳設定在一年后的未來，這種明顯的時序異常會觸發多數啟發式檢測規則。構建路徑中暴露的開發者用戶名“funt”則直接提供了歸因線索，后續關聯分析很可能輕松定位到真實的開發環境。攻擊者盡管用上了NVIDIA Container Toolkit的虛假身份，甚至通過WebView2通信把C2流量偽裝成瀏覽器流量，但基礎痕跡處理上的粗心給防守方留下了極低成本的突破口。
我的判斷是，這種粗糙與精細的混雜恰恰體現了當前Rust惡意軟件生態的成熟度。LabubaRAT內置了三種冗余的C2信道——基于reqwest和tokio的標準HTTPS輪詢、通過嵌入JavaScript模擬瀏覽器的WebView2通信、以及Base32分塊編碼的DNS隧道——確保即使某一信道被封堵，操作者仍能保持對主機的控制。植入體上學到的信息包括硬件規格、已安裝瀏覽器、殺毒軟件和域信息，然后等待命令執行Shell、PowerShell或Windows Script Host腳本，還能調用GDI接口截屏、上傳下載文件、處理存檔并讓主機充當SOCKS5代理。持久化則靠在HKCU Run鍵寫入自啟動項來實現，通過–install參數便可簡單開啟。
正因為功能全面，LabubaRAT的操作門檻被大幅壓低，而粗糙的偽裝更像是“付費即可用”模式中的默認配置，并非針對頂尖紅隊活動的精雕細琢。企業安全團隊與其費心辨析每個NVIDIA簽名的真偽，不如關注異常進程的父子關系、非標準環境變量的傳遞和將來自未來時間戳的文件。這些便宜信號很少同時被高水平攻擊者忽略，但對于MaaS級別的武器化工具，它們恰是性價比最高的防御觸發器。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
