新型Rust遠(yuǎn)控偽裝NVIDIA引誘Windows

安全分析師追蹤一個(gè)名為nvidia?sysruntime.exe的文件時(shí)，發(fā)現(xiàn)它并不是NVIDIA的合法組件。這個(gè)無簽名的64位可執(zhí)行文件把自身描述為“NVIDIA Container Runtime Monitor”，偽造的版本信息直接引用了NVIDIA Corporation和NVIDIA Container Toolkit。它還創(chuàng)建了一個(gè)名為Local\NVIDIAContainerMonitor_SingleInstance的互斥體，并在本地建立一個(gè)SQLite數(shù)據(jù)庫nvctr_sys.db來存儲(chǔ)注冊(cè)數(shù)據(jù)和運(yùn)行時(shí)狀態(tài)。然而，暴露真相的線索就藏在編譯信息里：PE時(shí)間戳指向2026年6月17日，Rust構(gòu)建路徑中反復(fù)出現(xiàn)一個(gè)叫“funt”的用戶名。這些細(xì)節(jié)讓Blackpoint Cyber的對(duì)手追擊小組（APG）認(rèn)定，這是名為LabubaRAT的全新遠(yuǎn)控植入物。

正方觀點(diǎn)認(rèn)為，這種偽裝已足夠精巧，可以在企業(yè)環(huán)境中潛伏多時(shí)。它不像硬編碼C2的傳統(tǒng)木馬，而是通過命令行參數(shù)或ZM_前綴的環(huán)境變量靈活接收運(yùn)行配置，啟動(dòng)時(shí)用–b參數(shù)傳遞組織名、分組名、服務(wù)器和API密鑰。APG解碼的實(shí)際部署顯示，組織名為“l(fā)uxespa”，分組為“rabbit”，C2服務(wù)器指向pipicka[.]xyz。同一份二進(jìn)制文件可以服務(wù)多個(gè)“客戶”，內(nèi)嵌幫助文本中的示例分組名還有“sauna”和“vip?chair”，呈現(xiàn)出明顯的“惡意軟件即服務(wù)”結(jié)構(gòu)。這種按需定制能力讓攻擊者可以像訂制SaaS工具一樣快速分發(fā)作案。

反方則指出，低質(zhì)量的操作安全會(huì)讓精心布置的偽裝功虧一簣。PE時(shí)間戳設(shè)定在一年后的未來，這種明顯的時(shí)序異常會(huì)觸發(fā)多數(shù)啟發(fā)式檢測(cè)規(guī)則。構(gòu)建路徑中暴露的開發(fā)者用戶名“funt”則直接提供了歸因線索，后續(xù)關(guān)聯(lián)分析很可能輕松定位到真實(shí)的開發(fā)環(huán)境。攻擊者盡管用上了NVIDIA Container Toolkit的虛假身份，甚至通過WebView2通信把C2流量偽裝成瀏覽器流量，但基礎(chǔ)痕跡處理上的粗心給防守方留下了極低成本的突破口。

我的判斷是，這種粗糙與精細(xì)的混雜恰恰體現(xiàn)了當(dāng)前Rust惡意軟件生態(tài)的成熟度。LabubaRAT內(nèi)置了三種冗余的C2信道——基于reqwest和tokio的標(biāo)準(zhǔn)HTTPS輪詢、通過嵌入JavaScript模擬瀏覽器的WebView2通信、以及Base32分塊編碼的DNS隧道——確保即使某一信道被封堵，操作者仍能保持對(duì)主機(jī)的控制。植入體上學(xué)到的信息包括硬件規(guī)格、已安裝瀏覽器、殺毒軟件和域信息，然后等待命令執(zhí)行Shell、PowerShell或Windows Script Host腳本，還能調(diào)用GDI接口截屏、上傳下載文件、處理存檔并讓主機(jī)充當(dāng)SOCKS5代理。持久化則靠在HKCU Run鍵寫入自啟動(dòng)項(xiàng)來實(shí)現(xiàn)，通過–install參數(shù)便可簡(jiǎn)單開啟。

正因?yàn)楣δ苋妫琇abubaRAT的操作門檻被大幅壓低，而粗糙的偽裝更像是“付費(fèi)即可用”模式中的默認(rèn)配置，并非針對(duì)頂尖紅隊(duì)活動(dòng)的精雕細(xì)琢。企業(yè)安全團(tuán)隊(duì)與其費(fèi)心辨析每個(gè)NVIDIA簽名的真?zhèn)危蝗珀P(guān)注異常進(jìn)程的父子關(guān)系、非標(biāo)準(zhǔn)環(huán)境變量的傳遞和將來自未來時(shí)間戳的文件。這些便宜信號(hào)很少同時(shí)被高水平攻擊者忽略，但對(duì)于MaaS級(jí)別的武器化工具，它們恰是性價(jià)比最高的防御觸發(fā)器。