SOCRadar stieß erst am 23. Juni auf die Plattform, als den Forschern ein offenes Verzeichnis auffiel. Die daran anschließende Untersuchung erstreckte sich über mehr als zehn Server, dutzende Samples, Panel-Protokolle echter Betreiber sowie eine Telegram-Konversation mit dem Entwickler der Plattform.
„Die meisten Fernzugriffswerkzeuge, die in Crimeware-Foren verkauft werden, sind geliehene Ware. Ein geleakter AsyncRAT-Build, eine geknackte XWorm-Lizenz, ein QuasarRAT-Fork mit neuem Symbol und neuem Namen", heißt es im Bericht. Bei VectraRAT sei das anders — keine Schicht davon sei zuvor öffentlich dokumentiert gewesen.
Der Betreiber ist nach Einschätzung der Forscher seit fast vier Jahren unentdeckt aktiv. Sie fanden eine ältere Identität namens „Nyxel" mit einem YouTube-Kanal, der bis August 2022 zurückreicht. Der Markenwechsel sei allerdings nur „marketingtief": Die Forscher beobachteten, wie der Betreiber den alten Nyxel Hub und den neuen VectraHub nebeneinander präsentierte — ohne funktionalen Unterschied.
Im Telegram-Gespräch bot der Entwickler Zusatzleistungen an, darunter Crypting-Dienste für 100 bis 350 US-Dollar monatlich sowie ein Bündelpaket für mehr als 2.000 US-Dollar. Außerdem führte er Scanergebnisse gegen namentlich genannte Antivirenprodukte vor und wies dabei darauf hin, dass die Erkennung je nach Produkt, Version und Konfiguration variiere.
Verbreitet wird VectraRAT über den Amadey-Loader und über ClickFix-Seiten, einen unter Angreifern beliebten Social-Engineering-Vektor. Sobald sich ein Opfer erstmals mit der Angreiferinfrastruktur verbindet, sammelt die Plattform automatisch Browser-Zugangsdaten und sucht nach potenziell wertvollen .env-, .conf- und .config-Dateien. Damit erhalten Angreifer nicht nur sensible Daten, sondern auch dauerhaften interaktiven Zugriff auf die kompromittierte Maschine — einen Ausgangspunkt, um weitere Zugangsdaten zu stehlen und tiefer in die Organisation vorzudringen.
„Die Messlatte hebt hier vor allem, wie ausgestattet diese Lösung ist und dass sie komplett von Grund auf gebaut wurde, statt ein Fork einer anderen MaaS-Lösung zu sein", sagt Denis Calderone, Technikchef der Sicherheitsfirma Suzu Labs, gegenüber Dark Reading. Die Malware sei sehr ausgefeilt, umgehe die Benutzerkontensteuerung, nutze proprietäre Protokolle für die Befehlssteuerung „und ist bepreist wie eine ganz normale Software-as-a-Service-Anwendung der Mittelklasse". Die UAC-Umgehung sei laut Bericht genau der Teil, „der VectraRAT von der 50-Dollar-Klasse abhebt".
Eine geografische oder branchenbezogene Ausrichtung konnte SOCRadar nicht feststellen; in den Opferdaten waren die USA, Russland und Deutschland am stärksten vertreten. Die Betreiber wählten anschließend hochwertige Hosts für manuelle Datenabflüsse aus; die Forscher bestätigten Dateiexfiltration von kompromittierten Systemen. „Es ist ziemlich offensichtlich, dass das als Lösung für Angriffe auf höherwertige Unternehmensziele verkauft wird", so Calderone.
Für Verteidiger hat SOCRadar Kompromittierungsindikatoren veröffentlicht, darunter eine C2-Override-Datei, ausgehenden TCP-Verkehr auf Port 3308 im Zusammenhang mit missbräuchlicher Auto-Elevation, eine Debug-API-Sequenz und eine versteckte PowerShell. Zu ClickFix merken die Forscher an: „Eine Verifizierungsseite, die jemanden auffordert, den Ausführen-Dialog zu öffnen und einen Befehl einzufügen, ist niemals legitim." Mit einer einzigen Regel hätten sie den Auslieferungsweg der aktivsten von ihnen dokumentierten Kampagne schließen können.
Calderone erwartet mehr Fälle dieser Art: „Früher hätte das über ein Jahr Entwicklung gekostet und wäre wahrscheinlich fehlerhaft gewesen. Es hat sich schlicht nicht gelohnt, aber heute kann man solche Dinge einfach zusammencoden."