RAT (remote access trojan)

RAT (remote access trojan) to koń trojański, który daje atakującemu interaktywną, zdalną kontrolę nad zainfekowanym urządzeniem. CERT Polska przy pierwszym użyciu opisuje go jako trojana pozwalającego na zdalny dostęp do komputera ofiary ^[3]. Typowy RAT pozwala oglądać ekran, rejestrować naciśnięcia klawiszy, przesyłać pliki i uruchamiać polecenia ^[1]. Nazwy konkretnych rodzin zostają po angielsku, na przykład AsyncRAT czy VenomRAT.

Jak działa

RAT składa się z dwóch części: agenta na urządzeniu ofiary i panelu operatora. Agent łączy się z serwerem C2 i czeka na polecenia, a operator widzi przejęte urządzenia jako listę, na której może pracować jak na własnym komputerze. Różnica względem botnetu polega na interaktywności: bot wykonuje zadania hurtowo, RAT służy do pracy „ręcznej” na wybranej maszynie.

RYS. 1Sesja operatora RAT-a

Możliwości dobrze pokazuje AsyncRAT. MITRE opisuje go jako narzędzie zdalnego dostępu o otwartym kodzie, pierwotnie publikowane na GitHubie, używane w złośliwych kampaniach ^[1]. Potrafi przechwytywać ekran i nagrywać wideo, działać jako keylogger, przesyłać pliki, sprawdzać uruchomione procesy, wykrywać debuger i maszyny wirtualne oraz utrwalać się przez zaplanowane zadania ^[1]. Ruch do C2 może kierować przez Tor i korzystać z dynamicznego DNS ^[1].

RAT a legalne narzędzia zdalnego dostępu

Zdalny pulpit sam w sobie nie jest złośliwy. MITRE osobno opisuje sytuację, w której przeciwnik używa legalnych narzędzi zdalnego dostępu do utworzenia interaktywnego kanału dowodzenia ^[2]. Takie instalacje często zawierają mechanizmy utrwalenia, na przykład usługi Windows ^[2].

Zagrożenia i skutki

RAT daje operatorowi prawie wszystko, co ma użytkownik urządzenia. Skutkiem bywa kradzież tożsamości, przejęcie kont, kradzież plików i dalszy ruch w sieci firmy, czyli lateral movement. RAT bywa też etapem pośrednim: MITRE podaje, że loader SocGholish pobiera wtórne ładunki w postaci RAT-ów i ransomware ^[6].

Coraz częściej celem są telefony. CERT Polska 3 kwietnia 2026 roku opisał cifrat, wieloetapowy łańcuch złośliwego oprogramowania na Androida, rozprowadzany przez infrastrukturę podszywającą się pod Booking ^[4]. Ostatni etap to RAT, który przesyła obraz ekranu, rejestruje klawisze ze szczególnym uwzględnieniem aplikacji bankowych i kryptowalutowych, przechwytuje SMS-y i nadużywa usług ułatwień dostępu do sterowania urządzeniem ^[4]. Pokazuje też fałszywe nakładki do wyłudzania danych logowania ^[4], czyli nakładki (overlay) na aplikacje bankowe. Polecenia i dane płyną dwoma osobnymi kanałami WebSocket: jeden służy do sterowania, drugi do przesyłania dużych ilości danych, takich jak zapisy klawiszy i zrzuty ekranu ^[4]. RAT potrafi też zestawić tunel SOCKS5 i przekazywać przez telefon ofiary cudzy ruch ^[4]. Sam łańcuch miał cztery etapy, a ukryta aplikacja pośrednia podszywała się pod usługi Google Play ^[4].

W WordPressie

RAT rzadko działa na samym serwerze WordPressa. Tam rolę zdalnego dostępu pełni zwykle webshell albo tylna furtka (backdoor). RAT dotyka strony pośrednio, na dwa sposoby.

RAT na komputerze administratora. Dokumentacja WordPress.org zwraca uwagę, że infekcja strony często zaczyna się na lokalnym komputerze. Napastnicy uruchamiają tam trojany, które przechwytują dane logowania do FTP i /wp-admin, a potem logują się jako właściciel strony ^[7]. Z tego powodu po włamaniu zaleca pełne skanowanie komputerów, z których loguje się administrator ^[7]. Keylogger w RAT-cie przechwyci też hasło wpisane mimo uwierzytelniania dwuskładnikowego, choć drugi składnik nadal utrudnia jego użycie z innego urządzenia.

Strona jako źródło RAT-a dla odwiedzających. SocGholish rozprzestrzenia się przez przejęte strony, które udają aktualizację przeglądarki ^[6]. Odwiedzający, który ją uruchomi, może na końcu łańcucha dostać RAT-a ^[6].

Jak się bronić

• Nie uruchamiać załączników ani skrótów z archiwów w mailach o paczkach, fakturach i aktualizacjach ^[3].
• Nie instalować aplikacji na telefon spoza oficjalnego sklepu; cifrat trafiał do ofiar jako plik APK pobierany ze strony ^[4].
• Kontrolować, jakie narzędzia zdalnego dostępu są dozwolone w firmie, i zgłaszać nowe instalacje ^[2].
• Logować się do panelu WordPress tylko z zaufanych, aktualnych komputerów ^[7].
• Stosować EDR (Endpoint Detection and Response) i obserwować nietypowe połączenia wychodzące do serwerów C2.

Historia i przykłady

11 grudnia 2018 roku CERT Polska opisał kampanię podszywającą się pod InPost, w której archiwum ze skrótem uruchamiało PowerShell i instalowało AsyncRAT ^[3]. CERT zauważył, że kod źródłowy tego trojana można znaleźć na GitHubie; funkcje obejmowały zrzuty ekranu i uruchamianie dowolnych plików ^[3]. Między 10 a 13 listopada 2025 roku operacja Endgame, koordynowana przez Europol, objęła między innymi VenomRAT; wyłączono lub zakłócono ponad 1 025 serwerów ^[5]. Głównego podejrzanego w sprawie VenomRAT zatrzymano w Grecji 3 listopada 2025 roku ^[5]. Według Europolu rozbita wtedy infrastruktura obejmowała setki tysięcy zainfekowanych komputerów z kilkoma milionami skradzionych danych logowania, a wiele ofiar nie wiedziało o infekcji ^[5]. To typowe dla RAT-ów: dobrze ukryty agent może działać miesiącami, dopóki ktoś nie zauważy jego połączeń.