LabubaRAT giả mạo phần mềm NVIDIA để điều khiển máy Windows
"Researchers identified a previously undocumented Rust-based remote access trojan, LabubaRAT, that masquerades as NVIDIA software on Windows hosts. The malware uses runtime-supplied configuration, supports HTTPS/WebView2/DNS tunneling, profiles the system, and enables command execution, file transfer, screenshots, and SOCKS5 proxying; no CVE is mentioned, and mitigation focuses on detecting the fake NVIDIA executable and blocking its C2 infrastructure."
Tác động đáng kể do RAT có thể thực thi lệnh, thu thập ảnh màn hình và proxy lưu lượng, đồng thời duy trì kết nối qua HTTPS/WebView2/DNS tunneling. Điểm cần chú ý: giả mạo NVIDIA để né phát hiện và cấu hình động giúp tái sử dụng cùng một binary cho nhiều hạ tầng.
Có thể gây gián đoạn vận hành và tăng rủi ro rò rỉ dữ liệu do khả năng điều khiển endpoint, chuyển tệp và định tuyến lưu lượng qua máy bị xâm nhập. Tác động kinh doanh tập trung vào khả năng duy trì truy cập và mức độ lan tỏa theo nhiều triển khai nếu không phát hiện sớm.
Các nhà nghiên cứu bảo mật đã phát hiện một remote access trojan (RAT) mới, viết bằng Rust và được gắn tên LabubaRAT, có khả năng giả mạo phần mềm NVIDIA nhằm hòa lẫn trong môi trường đích trên Windows. Theo phân tích của Blackpoint Cyber, mã độc tạo “chỗ đứng” để thực hiện tác vụ vận hành trực tiếp: lập hồ sơ máy, nhận lệnh từ kẻ tấn công, di chuyển tệp, chụp ảnh màn hình, và proxy lưu lượng qua hệ thống bị xâm nhập.
LabubaRAT hỗ trợ nhiều cơ chế liên lạc, gồm HTTPS, WebView2 và DNS tunneling, giúp duy trì quyền truy cập ngay cả khi một kênh bị phát hiện hoặc bị chặn. Chuỗi khởi đầu sử dụng tệp thực thi “nvidia-sysruntime.exe” (giả danh NVIDIA container runtime toolkit). Thay vì nhúng cứng thông tin điều khiển, mẫu nhận cấu hình qua command-line arguments hoặc một tham số Base64.
Cấu hình sau đó được lưu vào SQLite, rồi mã độc thực hiện trinh sát: liệt kê trình duyệt (Chrome, Firefox, Edge, Brave) và sản phẩm bảo mật (Microsoft Defender, CrowdStrike, SentinelOne, Sophos, Malwarebytes, Bitdefender, ESET, Kaspersky, McAfee, Symantec, Trend Micro), đồng thời thu thập hostname, RAM, CPU và trạng thái UAC. Về khả năng, LabubaRAT hỗ trợ thực thi lệnh/PowerShell/JavaScript, xử lý tệp nén, upload/download, và SOCKS5 proxy. Khuyến nghị: ưu tiên phát hiện tệp giả mạo nvidia-sysruntime.exe và chặn hạ tầng C2 (ví dụ tên miền được quan sát trong phân tích), kết hợp rà soát dấu hiệu proxy và lưu lượng bất thường theo các kênh HTTPS/WebView2/DNS.