ResokerRAT、Telegram悪用で認証情報窃取

Telegramを悪用したRAT挙動と制御機能

ResokerRATはTelegramのボットAPIをC2通信に利用し、感染端末を遠隔操作するRAT型マルウェアである。感染後は「Global\ResokerSystemMutex」を生成して多重実行を防止し、アンチデバッグ機能により解析を回避するとともに、管理者権限の取得による権限昇格を試みる。

さらに、プロセス検出および終了機能を通じて監視ソフトウェアの無効化を図るほか、Telegramコマンドを介した遠隔操作機能を備えている。/screenshotコマンドによる画面取得、/downloadコマンドによる追加ペイロードの取得・実行など、情報収集および機能拡張が可能な構成となっている。

また、スタートアップ登録やUAC設定変更、タスクマネージャーの無効化などにより永続化と隠蔽を維持し、キーボードフックを通じてユーザー操作の妨害を行う挙動も確認されている。

通信にはTelegramのボットトークンおよびチャットIDが使用され、正規トラフィックに偽装されることで検知が困難となる。対策としては、Telegram関連通信の監視強化やレジストリ・プロセス挙動の確認に加え、エンドポイント防御および実行ファイル管理の強化が重要となる。