Phần mềm độc hại Goldbackdoor

Đến năm Mezo năm Backdoors, Advanced Persistent Threat (APT)

Dịch sang:

Một nhóm APT (Mối đe dọa liên tục nâng cao) được cho là có quan hệ với chính phủ Triều Tiên đã nhắm mục tiêu vào các nhà báo với một mối đe dọa cửa hậu tinh vi mới có tên là phần mềm độc hại Goldbackdoor. Nhóm hacker cụ thể được theo dõi bởi các tổ chức an ninh mạng dưới một số tên khác nhau - APT37 , InkySquid, Reaper, ScarCruft và Ricochet Collima.

Chiến dịch đe dọa được cho là đã bắt đầu vào một thời điểm nào đó vào tháng 3 năm 2022 với mục tiêu chính là thu thập thông tin nhạy cảm từ các mục tiêu. Cho đến nay, các nhà nghiên cứu infosec đã xác định rằng dữ liệu đã được lấy từ máy tính riêng của một cựu quan chức tình báo Hàn Quốc. Hoạt động bắt đầu với các nỗ lực lừa đảo trực tuyến, trong đó các tin tặc giả danh là thực thể NK News hợp pháp.

Thông tin chi tiết về Phần mềm độc hại Goldbackdoor

Phân tích về mối đe dọa được thực hiện bởi các nhà nghiên cứu đã tiết lộ rằng Goldbackdoor là một phần mềm độc hại nhiều giai đoạn với một loạt các khả năng đe dọa được mở rộng. Do có những điểm tương đồng và trùng lặp đáng kể trong mã và hành vi của nó, các chuyên gia nhận định rằng mối đe dọa mới rất có thể là kẻ kế thừa của phần mềm độc hại Bluelight, một trong những công cụ độc hại được APT37 sử dụng trong quá khứ.

Các tin tặc đã chia hoạt động của mối đe dọa thành giai đoạn công cụ đầu tiên và giai đoạn thứ hai nơi tải trọng cuối cùng được phân phối. Thiết kế này cho phép những kẻ tấn công tạm dừng hoạt động sau khi lây nhiễm thành công ban đầu vào các thiết bị được nhắm mục tiêu. Nó cũng làm cho phân tích hồi cứu tiềm năng về mối đe dọa, sau khi tải trọng đã được loại bỏ khỏi cơ sở hạ tầng khó hơn nhiều.

Sau khi được kích hoạt, Goldbackdoor cung cấp cho các tác nhân mối đe dọa khả năng thực thi các lệnh từ xa, tách dữ liệu, thu thập các tệp hoặc tải các tệp bổ sung xuống máy vi phạm, thiết lập các quy trình ghi khóa và hơn thế nữa. Tin tặc cũng có thể hướng dẫn mối đe dọa tự gỡ cài đặt từ xa khỏi hệ thống bị xâm nhập. Để nhận các lệnh đến từ tin tặc, Goldbackdoor sử dụng các nhà cung cấp dịch vụ đám mây và được trang bị một bộ khóa API cho phép nó xác thực dựa trên nền tảng điện toán đám mây Azure của Microsoft.