ResolverRAT-malware undgår upptäckt, drabbar läkemedels- och hälsovårdsföretag

ResolverRAT, en smygande filösfri skadlig programvara, riktar in sig på sjukvårds- och läkemedelsindustrier med phishing-baserade attacker, varnar Morphisec Labs.

En farlig ny variant av skadlig programvara som kallas ResolverRAT har upptäckts av Morphisec Labs, och den används redan i riktade cyberattacker mot hälso- och läkemedelsorganisationer över hela världen.

Morphisec rapporterar att ResolverRAT är en fjärråtkomsttrojan (RAT) som är utformad för att undvika detektering och analys. Till skillnad från traditionell skadlig programvara, körs ResolverRAT helt i minnet och lämnar inga filer på disken, vilket gör det betydligt svårare att upptäcka med traditionella antivirusverktyg.

Hotet upptäcktes först i attacker mot Morphisecs kunder, specifikt inom hälso- och sjukvårdssektorn, med den senaste vågen som inträffade den 10 mars 2025.

Forskarna förklarar att ResolverRAT använder mycket realistiska phishing-mejl på flera språk för att lura företagsanställda att ladda ner infekterade filer. E-postmeddelandena hotar med juridiska konsekvenser, såsom upphovsrättsbrott, för att tvinga mottagarna att klicka.

”Dessa kampanjer speglar den pågående trenden med starkt lokaliserad phishing”, noterar Morphisec och förklarar att anpassning av språk och teman per land ökar chansen att någon kommer att falla för bluffen.

När den väl är inne i ett system, lastar ResolverRAT ett dolt skadligt program med hjälp av en metod som kallas DLL side-loading, ofta förklädd inom en legitim app. Detta gör det möjligt för skadprogrammet att smyga in utan att utlösa larm.

Skadprogrammet använder stark kryptering och förvrängningstekniker för att dölja sitt verkliga syfte. Det fungerar endast i datorns minne, undviker att använda normala systemfiler och skapar till och med falska certifikat för att kringgå säker nätverksövervakning.

Dess design innefattar flera metoder för att förbli dold och aktiv, även om vissa är blockerade. Den installerar sig själv i olika delar av systemet och använder en roterande lista över servrar och krypterad kommunikation för att undvika upptäckt.

Morphisec varnar för att ResolverRAT verkar vara en del av en global operation, med likheter till andra kända cyberattacker. Delade verktyg, tekniker och till och med identiska filnamn antyder en samordnad insats eller delade resurser bland hotgrupper.

”Den här nya typen av skadlig kod är särskilt farlig för hälsovårds- och läkemedelsföretag på grund av den känsliga data de hanterar,” sa Morphisec.

För att bekämpa hot som ResolverRAT, främjar Morphisec sin Automatiserade Rörliga Målförsvar (AMTD), vilket förhindrar attacker i det tidigaste skedet genom att ständigt ändra attackytan, vilket gör det svårare för skadlig kod att hitta ett mål.

ResolverRAT är ett tydligt exempel på hur sofistikerad cyberbrottslighet utvecklas – och varför kritiska sektorer som hälsovården måste ligga ett steg före.