Il mondo del Malware-as-a-Service è in costante evoluzione, e nonostante gli sforzi delle autorità per fermare o quantomeno arginare il fenomeno, sempre più operatori del mondo del crimine informatico lucrano "noleggiando" o commercializzando i propri malware, rendendoli sempre più simili a prodotti commerciali in termini di facilità d'uso e costo.
I ricercatori di BlackBerry hanno da poco segnalato un nuovo trojan per l'accesso remoto (RAT) noto come DCRat o DarkCrystal RAT, in vendita presso alcuni forum hacker russi. Il costo della backdoor è uno dei più bassi mai registrati in questo ambito, ovvero 5 dollari (pari a 500 rubli) per una licenza bimestrale, 21 dollari per 12 mesi di abbonamento oppure 40 dollari per un'attivazione perpetua.
Il malware è sviluppato da un singolo operatore, noto come "boldenis44", "crystalcoder" o "Coder" (in caratteri cirillici), che continua ad aggiornarlo e a venderlo proprio come se fosse un qualsiasi programma legittimo venduto sugli app store.
In base a quanto scoperto dai ricercatori di cybersicurezza, il RAT è apparso per la prima volta nel 2018, per poi essere rivisto e aggiornato successivamente. Analizzando il codice, DCRat è scritto in .NET con una struttura modulare per consentire lo sviluppo di plug-in agli affiliati, con tanto di ambiente di sviluppo integrato (IDE) chiamato DCRat Studio. In questo modo, gli operatori possono espandere le funzionalità del trojan per vari scopi, come sorveglianza, analisi, furto di dati, attacchi Distributed Denial of Service (DDoS) ed esecuzione di codice arbitrario.
DCRat include tre componenti, ovvero un file eseguibile che agisce da client, una pagina PHP per l'endpoint C2 (command-and-control) e uno strumento di amministrazione. Uno degli aspetti più sconcertanti è che il RAT è sottoposto a manutenzione quotidiana e ciò indica che il suo sviluppatore è impegnato a tempo pieno sul progetto.
