Cервис управления информационной безопасностью
Cервис управления информационной безопасностью
Вход Регистрация
MITRE ATT&CK - Инструмент Cardinal RAT
Каталоги
MITRE ATT&CK
БДУ ФСТЭК
Новая БДУ ФСТЭК
Риски
Каталоги
MITRE ATT&CK
Инструмент
Cardinal RAT
Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.
Подробнее
Наш канал

Cardinal RAT

Cardinal RAT is a potentially low volume remote access trojan (RAT) observed since December 2015. Cardinal RAT is notable for its unique utilization of uncompiled C# source code and the Microsoft Windows built-in csc.exe compiler.(Citation: PaloAlto CardinalRat Apr 2017)
ID: S0348
Type: MALWARE
Platforms: Windows
Version: 1.1
Created: 30 Jan 2019
Last Modified: 30 Mar 2020

Techniques Used
Domain ID Name Use
Enterprise T1071 .001 Application Layer Protocol: Web Protocols

Cardinal RAT is downloaded using HTTP over port 443.(Citation: PaloAlto CardinalRat Apr 2017)
Enterprise T1560 .002 Archive Collected Data: Archive via Library

Cardinal RAT applies compression to C2 traffic using the ZLIB library.(Citation: PaloAlto CardinalRat Apr 2017)
Enterprise T1547 .001 Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder

Cardinal RAT establishes Persistence by setting the HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\Load Registry key to point to its executable.(Citation: PaloAlto CardinalRat Apr 2017)
Enterprise T1059 .003 Command and Scripting Interpreter: Windows Command Shell

Cardinal RAT can execute commands.(Citation: PaloAlto CardinalRat Apr 2017)
Enterprise T1573 .001 Encrypted Channel: Symmetric Cryptography

Cardinal RAT uses a secret key with a series of XOR and addition operations to encrypt C2 traffic.(Citation: PaloAlto CardinalRat Apr 2017)
Enterprise T1070 .004 Indicator Removal: File Deletion

Cardinal RAT can uninstall itself, including deleting its executable.(Citation: PaloAlto CardinalRat Apr 2017)
Enterprise T1056 .001 Input Capture: Keylogging

Cardinal RAT can log keystrokes.(Citation: PaloAlto CardinalRat Apr 2017)
Enterprise T1027 .004 Obfuscated Files or Information: Compile After Delivery

Cardinal RAT and its watchdog component are compiled and executed after being delivered to victims as embedded, uncompiled source code.(Citation: PaloAlto CardinalRat Apr 2017)
Enterprise T1204 .002 User Execution: Malicious File

Cardinal RAT lures victims into executing malicious macros embedded within Microsoft Excel documents.(Citation: PaloAlto CardinalRat Apr 2017)

References

  1. Grunzweig, J.. (2017, April 20). Cardinal RAT Active for Over Two Years. Retrieved December 8, 2018.
Навигация

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.