Pulsar RAT: Εκτέλεση στη μνήμη & HVNC για αόρατη πρόσβαση σε συστήματα

Το Pulsar RAT εξελίσσεται ραγδαία σε μία από τις πιο ανησυχητικές απειλές στο σύγχρονο τοπίο της κυβερνοασφάλειας. Πρόκειται για ένα προηγμένο παράγωγο του Quasar RAT, το οποίο έχει ενισχυθεί με τεχνικές που επιτρέπουν στους επιτιθέμενους να διατηρούν αόρατη και μακροχρόνια απομακρυσμένη πρόσβαση σε μολυσμένα συστήματα. Η φιλοσοφία του Pulsar δεν περιορίζεται πλέον στην απλή απομακρυσμένη διαχείριση, αλλά εστιάζει στη μυστικότητα, την αποφυγή ανίχνευσης και την ευελιξία επιθέσεων.

Από το Quasar στο Pulsar: Μια ποιοτική αναβάθμιση

Αν και βασίζεται σε γνωστά θεμέλια, το Pulsar αντιπροσωπεύει ένα άλμα στην πολυπλοκότητα των RATs για Windows. Ο αρθρωτός σχεδιασμός του επιτρέπει τη δυναμική προσθήκη λειτουργιών, προσαρμοσμένων σε κάθε καμπάνια, ενώ ο συνδυασμός εκτέλεσης μόνο στη μνήμη και hidden virtual network computing  (HVNC) καθιστά την ανίχνευσή του εξαιρετικά δύσκολη για παραδοσιακές λύσεις ασφαλείας.

Δείτε επίσης: Το PDFSIDER malware αξιοποιείται ενεργά από χάκερ

Τεχνική αρχιτεκτονική και τρόπος λειτουργίας

Το Pulsar ακολουθεί μοντέλο client-server, χρησιμοποιώντας κρυπτογραφημένη επικοινωνία TLS και το MessagePack binary protocol για αποδοτική και γρήγορη ανταλλαγή εντολών. Η επιμονή στο σύστημα επιτυγχάνεται μέσω παράκαμψης του UAC και της δημιουργίας προγραμματισμένων εργασιών, οι οποίες ενεργοποιούνται σε κάθε σύνδεση χρήστη με αυξημένα δικαιώματα.

Ιδιαίτερα ανησυχητικό είναι το πλήρες «οπλοστάσιο» λειτουργιών: καταγραφή πληκτρολογήσεων για υποκλοπή ευαίσθητων στοιχείων, clipboard hijacking με αντικατάσταση διευθύνσεων κρυπτονομισμάτων, κλοπή διαπιστευτηρίων μέσω του Kematian Grabber, πλήρη διαχείριση αρχείων, απομακρυσμένο remote shell και συστηματική απομάκρυνση δεδομένων προς υποδομές που ελέγχονται από τους εισβολείς.

Υποδομή C2 και τεχνικές απόκρυψης

Το Pulsar RAT αντλεί τη διαμόρφωση command-and-control από δημόσιες υπηρεσίες τύπου pastebin, αποκρυπτογραφώντας τα payloads με ενσωματωμένα κλειδιά. Με αυτόν τον τρόπο, μειώνει την άμεση έκθεση της υποδομής του και αυξάνει την επιχειρησιακή ευελιξία των επιτιθέμενων.

Δείτε επίσης: GhostPoster: Κακόβουλες επεκτάσεις μόλυναν browsers για χρόνια

Παράλληλα, ενσωματώνει πολυεπίπεδες τεχνικές αντι-ανάλυσης. Έλεγχοι anti-virtualization ανιχνεύουν ενδείξεις sandbox και hypervisors. Αν εντοπιστεί εικονικό περιβάλλον, η εκτέλεση διακόπτεται άμεσα, μπλοκάροντας την ανάλυση από ερευνητές ασφαλείας.

Εκτέλεση fileless και code injection

Η πιο κρίσιμη καινοτομία του Pulsar είναι η πλήρης εκτέλεση μόνο στη μνήμη. Μέσω .NET reflection, τα payloads φορτώνονται απευθείας στη RAM χωρίς να εγγράφονται στον δίσκο, εξαλείφοντας ψηφιακά ίχνη και καθιστώντας άχρηστες πολλές τεχνικές forensic ανάλυσης. Επιπλέον, οι δυνατότητες code injection σε νόμιμες διεργασίες ακυρώνουν την ανίχνευση βάσει ονομάτων ή hashes.

Αλυσίδες εφοδιασμού ως κύριο όπλο διανομής

Πρόσφατες έρευνες δείχνουν ότι το Pulsar RAT διανέμεται όλο και συχνότερα μέσω επιθέσεων supply chain. Χαρακτηριστικό παράδειγμα αποτελεί καμπάνια npm του 2025, όπου κακόβουλα obfuscated πακέτα (Unicode encoding έως στεγανογραφία σε PNG) μόλυναν συστήματα προγραμματιστών, φτάνοντας εκατοντάδες λήψεις πριν τον εντοπισμό τους.

Δείτε επίσης: Ερευνητές εκμεταλλεύτηκαν σφάλμα στον πίνακα ελέγχου του StealC Malware

Στόχοι, επιπτώσεις και αμυντικές στρατηγικές

Το Pulsar RAT στοχεύει κυρίως χρήστες και οργανισμούς Windows χωρίς προηγμένες λύσεις EDR, με ιδιαίτερη έμφαση στους developers. Οι επιχειρησιακές συνέπειες είναι σημαντικές: αποκατάσταση που απαιτεί εκατοντάδες ώρες εργασίας για ανάκαμψη, κίνδυνος κλοπής πνευματικής ιδιοκτησίας και πιθανές παραβιάσεις κανονισμών.

Η αποτελεσματική άμυνα απαιτεί πολυεπίπεδη προσέγγιση: ισχυρές πλατφόρμες EDR, τμηματοποίηση δικτύου, συνεχή εκπαίδευση χρηστών και αξιοποίηση τεχνολογιών για ανίχνευση συμπεριφορικών δεικτών. Ο συνδυασμός μυστικότητας, λειτουργικότητας και επιθέσεων μέσω αλυσίδας εφοδιασμού καθιστά το Pulsar RAT μια αναδυόμενη κρίσιμη απειλή που απαιτεί άμεσο έλεγχο από τις ομάδες κυβερνοασφάλειας.