LabubaRAT 是一種新發現的遠端控制木馬，簡稱 RAT（Remote Access Trojan）。這類惡意軟體的主要目的是在受害者的電腦中建立一個持久的後門，讓攻擊者可以從遠端完全控制該裝置。這次發現的 LabubaRAT 特別之處在於它使用了 Rust 語言編寫，並採取了高度模組化與偽裝的策略，旨在規避現代企業級的安全偵測系統。
偽裝策略與進入路徑
攻擊者為了降低被發現的機率，將惡意程式命名為 nvidia-sysruntime.exe，偽裝成 NVIDIA 的容器運行時工具套件（Container Runtime Toolkit）。對於一般使用者或初級系統管理員來說，看到 NVIDIA 相關的執行檔在後台運行通常不會起疑，這讓木馬能輕易地在 Windows 環境中潛伏。
靈活的配置機制與 MaaS 模式
傳統的木馬通常將 C2（Command and Control，指令與控制伺服器）的網址直接寫死在程式碼中，這導致一旦該伺服器被封鎖，整個木馬就失效，且特徵明顯。但 LabubaRAT 採用了更靈活的設計：它不硬編碼伺服器資訊，而是在啟動時透過命令行參數（Command-line arguments）或 Base64 編碼的字串來接收配置。
這種設計意味著同一份編譯好的二進位檔案，可以被用於不同的攻擊目標、不同的伺服器或不同的攻擊組織。這種高度可配置的特性，顯示該木馬可能採取了 MaaS（Malware-as-a-Service，惡意軟體即服務）的商業模式，由開發者將工具出租給其他犯罪者使用。
環境偵察與安全軟體對抗
一旦 LabubaRAT 在目標主機上成功運行，它首先會進行環境偵察（Profiling）。它會掃描系統中安裝的瀏覽器（如 Chrome, Firefox, Edge）以及安全產品。值得關注的是，它會檢查包括 Microsoft Defender、CrowdStrike、SentinelOne 等大量知名端點防護軟體（EDR/AV）。
之所以要這樣做，是因為攻擊者需要根據受害主機的安全等級來決定後續的操作手段。例如，如果偵測到安裝了強大的 EDR，攻擊者可能會採取更隱蔽的指令執行方式，以避免觸發警報。此外，它還會收集 CPU 型號、記憶體大小以及 UAC（使用者帳戶控制）狀態，以判斷是否具有權限提升的空間。
多路徑通訊與強大控制力
為了確保即使部分通訊路徑被防火牆截斷仍能維持控制，LabubaRAT 支援多種通訊協議，包括標準的 HTTPS、WebView2 以及 DNS Tunneling（DNS 隧道）。DNS 隧道是一種將資料封裝在 DNS 查詢請求中的技術，因為大多數企業網路都會允許 DNS 流量通過，這使得它成為極其有效的繞過手段。
在控制功能方面，LabubaRAT 提供了一套完整的工具集，包括： 執行 PowerShell 與 JavaScript 指令。 截圖與檔案上傳下載。 建立 SOCKS5 代理伺服器（Proxy），允許攻擊者將受害主機作為跳板，進一步滲透內網中的其他設備。
總結與工程實務啟示
LabubaRAT 的出現提醒我們，現代惡意軟體正趨向於框架化與模組化。使用 Rust 語言不僅能提供高效能，還能讓分析人員更難對其進行反編譯。
對於維運與安全工程師而言，不能單純依賴執行檔名稱來判斷程式合法性。應採取基於行為的偵測（Behavior-based Detection），例如監控異常的 DNS 流量模式，或是追蹤非預期的命令行參數啟動行為。同時，嚴格控制執行權限並實施最小權限原則，能有效降低這類 RAT 在環境中橫向移動的風險。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。