Nanocore RAT è stato utilizzato in cyber-attacchi per circa 7 anni, e ci sono un grandissimo numero di modifiche di questo trojan. Versioni ufficiali, “semi-ufficiali” e crackate di questo malware vengono vendute nei forum sul DarkNet, e talvolta persino regalate gratuitamente, quindi non è sorprendente che il numero di attacchi che lo utilizzano rimanga alto.
Il design di Nanocore RAT si concentra sulla facilità d’uso, quindi anche avversari non qualificati possono svolgere campagne malware complete. Il trojan ha una vasta gamma di capacità per lo spionaggio e il controllo remoto del sistema, fornisce pieno accesso al sistema infetto e permette inoltre agli avversari di registrare audio e video, eseguire keylogging, raccogliere credenziali e altre informazioni personali.
NanoCore RAT viene fornito con plugin di base che ampliano le capacità operative del malware e consentono agli attori delle minacce di fare praticamente tutto ciò che desiderano una volta ottenuto il completo, anonimo controllo sui sistemi infetti.
La regola Sigma esclusiva “NanoCore detection” è uno dei primi contributi di Aytek Aytemur, che recentemente si è unito al Threat Bounty Program: https://tdm.socprime.com/tdm/info/VGdb6whemVdv/3XiVWHQBPeJ4_8xcGSSx/?p=1
La regola ha traduzioni per le seguenti piattaforme:
SIEM: Azure Sentinel, ArcSight, QRadar, Splunk, Graylog, Sumo Logic, ELK Stack, RSA NetWitness, LogPoint, Humio
EDR: Carbon Black, Elastic Endpoint
MITRE ATT&CK:
Tattiche: Esecuzione, Persistenza, Escalation dei Privilegi
Tecniche: Scheduled Task (T1053)
Controlla più contenuti sviluppati dal Threat Bounty Program per individuare NanoCore:
Rilevamento NanoCore Rat (Persistenza tramite schtasks) di Emir Erdogan
Comportamento Nanocore (Rilevamento PowerShell) di Ariel Millahuel
Pronto a provare SOC Prime TDM? Iscriviti gratuitamente. Oppure unisciti al Threat Bounty Program per creare i tuoi contenuti e condividerli con la comunità TDM.
