Эксперты по кибербезопасности из компании Blackpoint обнаружили новый вредоносный модуль RoadK1ll, который незаметно расширяет доступ злоумышленников внутри корпоративных сетей. Модуль действует через заражённый компьютер, превращая его в промежуточную точку для обхода защиты и управления другими узлами.
- RoadK1ll написан на Node.js и использует протокол WebSocket для связи с управляющей инфраструктурой.
- Модуль устанавливает исходящие соединения, позволяющие проксировать TCP-трафик и обходить защиту сети.
- RoadK1ll не открывает входящие порты, что снижает вероятность обнаружения.
- Вредоносный код может автоматически восстанавливать связь при разрывах соединения.
- Отсутствует классическая закреплённость через реестр или планировщик задач, модуль работает пока активен процесс.
- Blackpoint опубликовала индикаторы компрометации для быстрого обнаружения угрозы.
Особенности работы вредоносного модуля RoadK1ll
RoadK1ll функционирует как промежуточный узел в сети, обеспечивая злоумышленникам доступ к внутренним сервисам и сегментам, недоступным из внешней среды. Для связи с командным сервером используется WebSocket, что позволяет маскировать вредоносный трафик под обычное сетевое взаимодействие и поддерживать постоянный канал управления.
Основное преимущество модуля — инициирование исходящих соединений от имени доверенного устройства. Это позволяет обходить защитные механизмы периметра и не вызывать подозрений. Через один туннель можно управлять несколькими внутренними ресурсами одновременно, что значительно ускоряет развертывание атаки.
Технические возможности и степень угрозы
RoadK1ll обладает минималистичным, но эффективным функционалом: он умеет устанавливать соединения, передавать данные, отслеживать ошибки и закрывать сессии по команде оператора. При потере связи модуль автоматически пытается восстановить соединение, обеспечивая непрерывный контроль без вмешательства злоумышленника.
Отсутствие традиционных методов закрепления в системе (через реестр или планировщик задач) затрудняет обнаружение и удаление модуля, однако это же свидетельствует о его узкой специализации и современном подходе к маскировке.
- Обнаружение модуля RoadK1ll специалистами Blackpoint.
- Анализ архитектуры и протокола связи через WebSocket.
- Публикация индикаторов компрометации для корпоративных защитных систем.
- Рекомендации по мониторингу и обнаружению скрытого трафика в сети.