DinodasRAT 恶意软件针对多国政府发起攻击
内容提要
卡巴斯基发现了名为DinodasRAT的多平台后门恶意软件，可从受感染的主机中收集敏感数据。该恶意软件已攻击Red Hat和Ubuntu系统，并可能从2022年开始运行。DinodasRAT具有监视、控制和外泄数据的功能，攻击者可完全控制被入侵的系统。该恶意软件影响了中国、台湾、土耳其和乌兹别克斯坦的受害者。
延伸解读
Linux 服务器成为间谍活动的跳板
文章指出，DinodasRAT 的 Linux 变种主要针对 Red Hat 和 Ubuntu 系统，攻击者利用它获取并保持对 Linux 服务器的访问权限。由于服务器通常承载关键业务且长期在线，一旦被植入后门，攻击者便可长期潜伏，监控用户活动、执行命令并外泄数据。这提醒运维人员，Linux 服务器并非免疫于定向间谍攻击，需加强异常进程和网络连接的监测。
隐蔽持久化与加密通信增加检测难度
恶意软件执行后会在二进制文件目录创建隐藏文件作为互斥器，防止多个实例运行，并通过 SystemV 或 SystemD 启动脚本设置持久化。为逃避检测，它还会在父进程等待时再次执行。与 C2 服务器通信时使用 TCP 或 UDP 及 TEA 加密，使流量难以识别。这些手法表明攻击者注重隐蔽性和稳定性，常规安全工具可能难以发现。
功能全面，攻击者近乎完全控制
DinodasRAT 具备监控、控制和数据外泄功能，可收集用户活动、系统配置和运行进程信息，接收并执行文件操作、shell 命令、更新 C2 地址等指令，还能枚举和管理进程与服务，提供远程 shell，并下载新版本恶意软件。研究人员称，攻击者借此可完全控制被入侵系统，主要目的是通过 Linux 服务器获得并保持对目标的访问权限，实现间谍活动。
攻击范围与时间线揭示长期威胁
卡巴斯基指出，该恶意软件自 2023 年 10 月以来影响了中国、台湾、土耳其和乌兹别克斯坦的受害者，且可能从 2022 年就开始运行。此前 ESET 在“Jacana 行动”中发现 DinodasRAT 入侵 Windows 系统，目标为政府。虽然初始感染方法未公开，但多平台、多国目标的特性表明，这是一场持续且有针对性的网络间谍活动，相关组织应保持警惕。
Q&A
DinodasRAT恶意软件的主要功能是什么？
DinodasRAT的主要功能包括监控用户活动、执行命令、管理进程和服务，以及下载新版本的恶意软件。
DinodasRAT恶意软件影响了哪些国家的用户？
DinodasRAT影响了中国、台湾、土耳其和乌兹别克斯坦的用户。
DinodasRAT是如何与命令与控制服务器通信的？
DinodasRAT通过TCP或UDP与命令与控制服务器进行通信，并使用微小加密算法确保数据交换安全。
DinodasRAT恶意软件的初始感染方法是什么？
卡巴斯基没有提供关于DinodasRAT初始感染方法的详细信息。
DinodasRAT恶意软件的运行时间是从什么时候开始的？
DinodasRAT可能从2022年开始运行。
DinodasRAT恶意软件如何确保其在受感染设备上的持久性？
DinodasRAT通过创建隐藏文件和使用SystemV或SystemD启动脚本来设置持久性。
