什么是远程访问木马(RAT)？检测与清除方法

引言

人类生活在21世纪，我们的大部分交流都在网络上进行。因此，个人、企业和组织都面临着新的网络保护威胁。这些数字威胁中的很大一部分会侵入您的系统并挑战个人的活动。在我们当前世界中最危险的数字威胁之一就是这种恶意软件类型。在本文中，我们将讨论这种恶意软件的重要性，数字威胁如何影响您的系统，如何识别它以及如何保护您的系统免受其害。

什么是远程访问木马？

这是一种恶意软件程序，包含对目标计算机进行行政控制的后门。这些恶意软件通常与正常程序（如游戏）一起隐形存储，或作为电子邮件附件发送。当主系统被侵入后，入侵者可能会利用它将特洛伊木马传播到其他脆弱的计算机并创建僵尸网络。

由于RAT启用管理控制，它使入侵者能够在指定计算机上执行几乎任何操作，包括：

• 通过键盘记录器或其他间谍软件监控客户端行为
• 获取私人信息，例如信用卡和政府支持的退休号码
• 激活系统的网络摄像头并录制视频
• 截取屏幕截图
• 传播病毒和其他恶意软件
• 配置驱动器
• 删除、下载或修改文档和记录系统

BACK ORIFICE ROOTKIT是RAT最著名的实例之一。一个名为"死亡牛崇拜"的黑客创建了Back Orifice，以揭露微软Windows操作系统的安全漏洞。

RAT可能难以识别，因为它们通常不会出现在运行项目或任务的安排中。它们执行的活动可能与真实项目的活动相似。此外，入侵者通常会处理资产使用程度。这样，性能下降就不会让客户端意识到出现问题。

远程访问木马如何工作？

与其他形式的恶意软件一样，远程访问木马通常与看似真实的文件相关联，如电子邮件或预安装的软件。然而，最近发现这些危险威胁行为者在他们的策略被发现并公开揭露后，会迅速改变工作程序。

然而，使这种恶意软件特别危险的真正原因是它可以模仿可靠的远程访问应用程序。一旦它们被安装，您就不会知道它的存在，因为它不会出现在活动项目或运行周期的列表中。为什么？对攻击者来说，保持低调并避免被抓住更为有利。如果您不采取极端安全措施，您的计算机上可能长时间存在远程访问木马而未被识别。

与键盘记录（一种在客户端不知情的情况下记录其键盘敲击的病毒）或勒索软件（对计算机或手机上的所有信息进行编码，阻止信息所有者访问，直到支付赎金）不同，远程访问木马为攻击者提供了对受感染系统的完全管理控制，只要他们保持不被发现。

正如您可以想象的，这种活动可能导致脆弱的情况。例如，如果RAT与键盘记录器配对，它可以轻松获取货币和个人帐户的登录信息。更糟糕的是，它们可以秘密激活计算机的摄像头或麦克风，甚至访问私人照片和档案，或使用您的家庭组织作为替代服务器，秘密实施违规行为。

远程访问木马检测

随着欺诈者发展他们的策略来规避银行的安全措施，欺诈预防解决方案也必须进步以跟上步伐。大多数解决方案无法检测RAT的存在，因为它们依赖于传统安全措施，如独特指纹批准或小工具验证。由于这种恶意软件通过不试图隐藏在客户的真实小工具上来隐藏，并且操作小工具的仍然是真实客户。因此，银行需要复杂的安全处理方式来有效检查RAT和浏览器中的RAT。

此外？双因素验证（强大的新指南PSD2）提供有限的保险，基本上与RAT相关。例如，如果银行在攻击者尝试虚假交易时要求提供OTP（一次性密码），他们可以巧妙地使用真实客户的暂停会话来通过实际受害者获取它。

社会生物识别技术通常被认为是主要的网络安全能力，能够识别并因此击败这种恶意软件攻击。这是因为，除了批准已知的客户端小工具外，生物识别技术还分析客户端的行为和认知能力，而不会干扰客户端体验本身。它可以使用先进的AI算法逐步分析小工具背后的客户端，识别他们独特的社会生物识别特征。

通过学习这些行为标准——识别鼠标方向的异常、可疑控制台使用或小工具控制计算机的延迟——高科技社会生物识别技术可以发出会议期间行为发生意外变化的信号——无论多么轻微或短暂。这些关键信息可能标志着潜在的远程访问木马渗透或帐户接管（ATO）尝试。

如何防范远程访问木马？

RAT旨在将自己隐藏在受感染的机器上，为攻击者提供秘密访问。它们通常通过在看似真实的应用程序上搭载恶意功能来实现这一点。例如，盗版电脑游戏或商业应用程序可能免费提供，因为它已被更改以包含恶意软件。

RAT的隐蔽性可能使它们难以防范。一些识别和限制RAT影响的技术包括：

关注感染向量：与任何恶意软件一样，RAT只有在目标计算机上安装和执行时才构成威胁。通过发送网络钓鱼防护和定期修复系统，可以通过使它们更难感染计算机来降低RAT的风险。

寻找异常行为：RAT是特洛伊木马，通常呈现真实应用程序的外观，可能由添加到真实应用程序中的恶意功能组成。监控应用程序的异常行为，例如notepad.exe产生网络流量。

监控网络流量：RAT使攻击者能够通过网络远程控制受感染的计算机，向其发送命令并获取结果。寻找可能与这些通信相关的非典型组织流量。

实施最小权限原则：最小优势原则规定，客户、应用程序、系统等应仅具有处理业务所需的访问和同意。执行和执行最小优势可以帮助限制攻击者使用RAT可以实现的目标。

发送多因素认证（MFA）：RAT通常尝试窃取在线帐户的用户名和密码。发送MFA可以帮助限制资格妥协的影响。

原文发表于：https://www.wallarm.com。