Rclone wurde als bösartiges Tool identifiziert, das mit Ransomware-Samples verknüpft ist.

3211

Created On 10/26/22 00:43 AM - Last Modified 09/03/25 01:20 AM

Symptom

Kunden erstellen Fälle, in denen die Erkennung und Abdeckung der IOCs (Stichproben) gefordert wird, die in der CISA Warnung AA22-294A aufgeführt sind. Bei diesen Beispielen handelt es sich um Dateien, die Teil des Rclone-Tools sind, das kürzlich bei Ransomware-Angriffen verwendet wurde.

Rclone Zugeordnete SHA256-Hashes

9E42E07073E03BDEA4CD978D9E7B44A9574972818593306BE1F3DCFDEE722238   rclone-v1.59.2-windows-amd64\git-log.txt
19ED36F063221E161D740651E6578D50E0D3CACEE89D27A6EBED4AB4272585BD   rclone-v1.59.2-windows-amd64\rclone.1
54E3B5A2521A84741DC15810E6FED9D739EB8083CB1FE097CB98B345AF24E939   rclone-v1.59.2-windows-amd64\rclone.exe
EC16E2DE3A55772F5DFAC8BF8F5A365600FAD40A244A574CBAB987515AA40CBF   rclone-v1.59.2-windows-amd64\README.html
475D6E80CF4EF70926A65DF5551F59E35B71A0E92F0FE4DD28559A9DEBA60C28   rclone-v1.59.2-windows-amd64\README.txt

Environment

Palo Alto Networks firewall
Anti-Virus
Wildfire
Bedrohliche Intelligenz

Cause

Rclone ist ein Open-Source-, Multi-Threaded-Befehlszeilen-Computerprogramm zur Verwaltung oder Migration von Inhalten in der Cloud und anderen Speichern mit hoher Latenz.
Zu den Funktionen gehören Synchronisieren, Übertragen, Verschlüsseln, Cachen, Vereinen, Komprimieren und Mounten.
Die rclone-Website listet unterstützte Backends auf, einschließlich S3 und Google Drive.

Resolution

Rclone ist keine Ransomware; Es ist ein legitimes Tool, das während einer Ransomware-Infektion als Exfiltrationswerkzeug missbraucht wird.
Sobald der Angreifer das Unternehmensnetzwerk kontrolliert, wird Rclone bereitgestellt, um die vertraulichen Daten auf einen Remote-Server zu kopieren.
Es hat eine legitime Verwendung für die Datensicherung oder Datenübertragung. An dieser Stelle erwägen IPSwir keine /IDS Signaturen, um Rclone zu erkennen.

Additional Information

Wir haben Rclone AppID eingeführt, um den Datenverkehr für diese Anwendung zu identifizieren. Weitere Informationen finden Sie auf unserer Applipedia-Seite
Wir werden auch Rclone behalten BENIGN Wildfire , da es von IT den Kunden wild verwendet wird.