事件背景与木马概览
近期，安全研究人员发现了一款名为LabubaRAT的新型远程访问木马（RAT）。该木马采用Rust语言编写，主要伪装成NVIDIA相关的系统组件，在Windows系统上进行非法渗透与数据窃取。从我们的应急响应经验来看，攻击者利用知名厂商的软件签名或元数据进行伪装，是当前诱导用户点击并绕过基础防范的常见手段。
该木马因其C2控制面板中出现的“LabubaPanel”标题及Labubu主题图标而得名。与以往硬编码C2地址的恶意软件不同，LabubaRAT展现出了极高的灵活性，能够根据不同的攻击目标动态调整配置，这预示着其背后可能存在一套成熟的攻击流程。
攻击链与技术手法解析
LabubaRAT的攻击链条设计非常精简，核心在于“高隐蔽性诱导”与“可复用架构”。
首先是伪装入口。攻击者将恶意程序命名为nvidia-sysruntime.exe，并通过伪造NVIDIA Corporation的元数据和版本信息，使其在外观上极度逼近正版NVIDIA Container Runtime Toolkit。这一环节是很多企业员工容易忽视的盲点，往往因为文件名称的“官方感”而放松警惕。
其次是极具弹性的配置机制。LabubaRAT不依赖硬编码的连接信息，而是通过命令行参数、环境变量或Base64编码的配置块在运行时注入C2服务器地址、组织标签及API密钥。这意味着攻击者可以使用同一个二进制文件，通过更换不同的配置参数，轻松针对不同行业、不同目标的组织发起攻击。
最后是多维度的通信与持久化策略。该木马支持HTTPS轮询、Microsoft Edge WebView2以及DNS隧道等多种通信路径，一旦某条链路被阻断，它能够迅速切换。同时，它通过修改Windows注册表中的Run键实现开机自启，确保攻击者能长期维持对受害主机的控制权。
深度剖析：从侦察到控制
一旦LabubaRAT在受害主机运行，它会立即执行一系列环境侦察操作：
- 主机画像：收集主机名、CPU/内存配置、域成员身份及UAC状态。
- 安全对抗：扫描注册表中的卸载项，识别目标系统中是否安装了Microsoft Defender、CrowdStrike、SentinelOne、Carbon Black等主流终端安全产品。
- 业务渗透：利用内置的SQLite数据库（nvctr_sys.db）暂存本地状态，并支持执行PowerShell、JavaScript脚本、文件上传下载、屏幕截图以及SOCKS5代理，完全具备了后续开展横向移动和数据外泄的能力。
Solar安全建议与经验分享
针对类似LabubaRAT的远控木马，Solar应急响应团队建议企业从以下几个维度加强防范：
首先，严格执行终端软件来源管控。即使文件名称和元数据看起来“官方”，也必须校验数字签名的有效性。对于非IT运维人员安装的“驱动程序”或“运行库”，应通过合规的资产管理平台进行审核。
其次，强化终端行为监控。LabubaRAT在执行初期会扫描大量安全软件特征，这种异常的系统枚举行为是识别此类木马的关键指标。建议部署基于EDR的实时检测策略，重点监控对注册表Run键的异常写入行为以及非预期的DNS隧道流量。
最后，建立常态化的应急预案。类似攻击近年来明显增加，攻击者越来越倾向于使用“可配置的通用载荷”。企业应定期进行安全巡检，利用已知的IoC（如异常文件名、特定的通信特征）进行全网扫描，确保威胁在横向渗透阶段被阻断。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com