NETRESEC expôs a incoerência no uso do termo "zgRAT", que é frequentemente usado de forma inconsistente para se referir tanto ao infostealer PureLogs quanto ao Remote Access Trojan (RAT) PureRAT. A confusão foi alimentada por múltiplos relatórios anteriores, incluindo análises detalhadas sobre o malware e seu uso em campanhas de spam maliciosas.
PureLogs é um infostealer projetado para coletar credenciais e dados sensíveis automaticamente. As versões mais recentes do PureLogs enviam os dados exfiltrados via uma rede criptografada usando TLS, dificultando sua detecção em redes. Suricata possui assinaturas específicas que identificam o tráfego de PureLogs tanto no ambiente não-TLS quanto TLS.
Por outro lado, PureRAT é equipado com funcionalidades avançadas para interação remota com hosts infectados, incluindo controle de desktop remoto e coleta de informações. A implementação atual do TLS em PureRAT tornou o malware mais difícil de detectar no ambiente da rede.
Ambos os malwares são desenvolvidos por uma única organização e compartilham características técnicas que podem levar a erros na identificação correta durante as análises forenses. A falta de um padrão claro para o uso do termo "zgRAT" resultou em muitas falsas positivas e confusões entre os diferentes tipos de malware.
É recomendado por especialistas que, em vez de usar a ambígua etiqueta "zgRAT", seja empregada uma descrição mais específica quando se refere ao malware desenvolvido pela organização PureCoder. Isso ajudará a reduzir erros analíticos e melhorar a eficácia das respostas às ameaças.
O uso de ferramentas como FlowCarp é sugerido para identificar o tráfego C2 específico associado ao malware, permitindo uma separação clara entre PureLogs e PureRAT. O FlowCarp utiliza métodos estatísticos para identificar protocolos C2 sem a necessidade de acompanhar certificados X.509 individuais.
A confusão em torno do termo zgRAT tem implicações significativas na detecção precoce e resposta eficaz contra campanhas maliciosas envolvendo PureLogs e PureRAT, ressaltando a necessidade de uma maior clareza nas práticas de nomenclatura de malware.
Esta matéria foi escrita a partir dos relatórios abaixo, catalogados pela Malpedia (Fraunhofer FKIE).