GoGra Backdoor

През ноември 2023 г. южноазиатска медийна организация беше атакувана с помощта на новооткрита задна вратичка, базирана на Go, известна като GoGra. Този зловреден софтуер, написан на езика за програмиране Go, използва API на Microsoft Graph, за да комуникира със сървър за командване и управление (C&C), хостван в пощенските услуги на Microsoft. Засега методът за доставка на GoGra до целевите среди остава неизвестен. За отбелязване е, че GoGra е проектиран да чете съобщения от акаунт в Outlook с потребителско име „FNU LNU“, по-специално тези с теми, започващи с „Вход“.

GoGra споделя прилики с открит преди това зловреден софтуер

Съдържанието на съобщението се дешифрира с помощта на алгоритъма AES-256 в режим Cipher Block Chaining (CBC) чрез използване на специфичен ключ. След дешифрирането командите се изпълняват чрез cmd.exe. След това резултатите се криптират и се изпращат обратно на същия потребител с тема „Изход“. Смята се, че GoGra е разработена от национална хакерска група, известна като Harvester , поради приликите си с персонализиран .NET имплант, наречен Graphon , който също използва Graph API за командни и контролни (C&C) функции.

Актьорите на заплахи експлоатират все по-често легитимни облачни услуги

Актьорите на заплахи все повече експлоатират легитимни облачни услуги, за да останат дискретни и да избегнат разходите, свързани със специална инфраструктура.

Ярки примери за тази тенденция включват:

• Firefly : Нов инструмент за ексфилтриране на данни, използван при кибератака срещу военна организация в Югоизточна Азия. Събраните данни се качват в Google Drive с помощта на твърдо кодиран токен за опресняване.
• Грейджър : През април 2024 г. беше открита нова задна вратичка, насочена към организации в Тайван, Хонг Конг и Виетнам. Той комуникира със сървър за командване и управление (C&C), хостван на Microsoft OneDrive чрез Graph API. Тази дейност е условно свързана с предполагаемия китайски заплаха, известен като UNC5330.
• MoonTag : Задна вратичка с функционалност за взаимодействие с API на Graph, приписана на китайскоговорящ заплаха.
• Onedrivetools : Задна врата, използвана срещу компании за ИТ услуги в САЩ и Европа. Той използва Graph API за комуникация с C&C сървър на OneDrive, изпълнявайки команди и запазвайки изхода на същата платформа.

Въпреки че използването на облачни услуги за командване и контрол не е нова техника, приемането й сред нападателите нараства напоследък.

Опасностите от задни инфекции

Злонамереният софтуер със задна врата създава значителни опасности за засегнатите организации или потребители, включително:

• Неоторизиран достъп : Задните врати предоставят на нападателите скрит достъп до системите, което им позволява да заобиколят нормалните механизми за удостоверяване. Този неоторизиран достъп може да доведе до компрометиране на чувствителни данни и критични системи.
• Кражба на данни : Нападателите могат да използват задни врати, за да измъкнат поверителна информация, включително лични данни, интелектуална собственост и финансови записи. Тези събрани данни могат да бъдат използвани за кражба на самоличност, корпоративен шпионаж или продадени в тъмната мрежа.
• Системен контрол и манипулиране : След като се инсталира задна врата, нападателите могат да получат контрол над засегнатите системи. Този контрол им позволява да изпълняват команди, да инсталират допълнителен зловреден софтуер, да променят системните конфигурации или да манипулират данни.
• Мрежов компромет : Задните врати често улесняват страничното движение в мрежата. Нападателите могат да използват първоначален компромис, за да се движат странично през свързани системи, като потенциално засягат цели мрежи и увеличават обхвата на атаката си.
• Прекъсване на операциите : Злонамереният софтуер със задна врата може да наруши нормалните бизнес операции, като причини системни повреди, изтрие или криптира критични файлове или доведе до проблеми с производителността. Това може да доведе до оперативни прекъсвания и финансови загуби.
• Шпионаж и наблюдение : Задните врати могат да се използват за шпионаж, позволявайки на нападателите да наблюдават и записват потребителски дейности, комуникации и взаимодействия. Това наблюдение може да компрометира поверителността и да доведе до изтичане на чувствителна информация.
• Увреждане на репутацията : Наличието на заден злонамерен софтуер може да навреди на доброто име на организацията, което води до загуба на доверие и увереност на клиентите. Това може да има дългосрочни ефекти върху бизнес отношенията и пазарната позиция.
• Регулаторни и правни последици : Организациите могат да се сблъскат с правни и регулаторни последици, ако не могат да защитят чувствителни данни. Нарушенията на данните, включващи злонамерен софтуер със задна врата, могат да доведат до глоби, правни действия и проблеми със съответствието.

В обобщение, злонамереният софтуер със задни вратички представлява многостранна заплаха, която може да компрометира сигурността, поверителността и оперативната цялост, което прави от съществено значение за организациите и потребителите да използват стабилни мерки за сигурност и да останат бдителни срещу потенциални прониквания.