Nel novembre 2022, i ricercatori di Trend Micro hanno scoperto una campagna di mining di criptovaluta destinata agli utenti Linux con malware CHAOS basato su Go (Trojan.Linux.CHAOSRAT). Il Chaos RAT si basa su un progetto open-source.
Come il progetto originale, il malware è in grado di terminare malware concorrenti, software di sicurezza e viene utilizzato per distribuire il minatore di criptovaluta Monero (XMR).
Il malware mantiene la persistenza alterando il file e si scarica ogni 10 minuti da Pastebin.
"
Questo è seguito dal download di payload aggiuntivi: un miner XMRig, il suo file di configurazione, uno script di shell che esegue il looping" killer della concorrenza "e, soprattutto, il RAT stesso." si legge nell'analisi pubblicata da Trend Micro.I ricercatori hanno riferito che lo script principale del downloader e ulteriori payload sono ospitati in più posizioni per assicurarsi che la campagna rimanga attiva e la minaccia continui a diffondersi.
Secondo gli esperti, il server principale sembra trovarsi in Russia e viene utilizzato per l'hosting cloud antiproiettile.
Il server C2 viene utilizzato solo per fornire payload, mentre il Chaos RAT si connette a un altro server C&C che si trova probabilmente a Hong Kong. Dopo aver eseguito il RAT, si connette al server C2 tramite il suo indirizzo e la porta predefinita, utilizzando un JSON Web Token (JWT) per l'autorizzazione.
