Webrat spres som falsk exploitkode på GitHub

Kasperskys forskere har avdekket en kampanje der fjernstyringsverktøyet Webrat spres gjennom GitHub. Siden minst september 2025 har aktøren opprettet repositorier som utgir seg for å inneholde exploitkode for alvorlige sårbarheter, med utfyllende beskrivelser og strukturerte veiledninger som skal bygge tillit. Ofrene laster ned et ZIP-arkiv som legger igjen en kjørbar fil, i de observerte tilfellene rasmanesc.exe. Den eskalerer rettigheter, slår av Windows Defender og henter Webrat fra fast konfigurert infrastruktur. Verktøyet gir bakdørstilgang med tyveri av legitimasjoner, skjermopptak, kamera- og mikrofontilgang og uthenting av data fra tjenester som Telegram, Discord, Steam og kryptolommebøker.

Hva det betyr for virksomheten

Målgruppen er egne sikkerhets- og utviklingsfolk, altså de brukerne som har mest tilgang og som oftest har unntak fra restriksjoner. Å laste ned og kjøre exploitkode fra ukjente repositorier er en vanlig arbeidsvane, og den fortjener en ramme.

Berigo anbefaler

• Krev at all testing av exploitkode skjer i isolerte analysemiljøer, aldri på arbeidsstasjonen.
• Fjern lokale administratorrettigheter for tekniske brukere som i dag har dem permanent.
• Varsle når endepunktbeskyttelse blir deaktivert, og behandle det som en hendelse.
• Skriv en kort retningslinje for bruk av kode fra åpne repositorier, og gjør den kjent i utviklingsmiljøet.

Kilde

• securelist.com