Backdoor pro Linux v GoGra

Útočník známý jako Harvester byl spojen s nově identifikovanou linuxovou variantou svého backdooru GoGra, což signalizuje pokračující expanzi jeho kybernetických špionážních operací. Předpokládá se, že tyto útoky cílí primárně na subjekty v jižní Asii, přičemž forenzní důkazy naznačují aktivity pocházející z Indie a Afghánistánu. To naznačuje cílenou kampaň shromažďování zpravodajských informací zaměřenou na organizace v těchto regionech.

Stealth skrze důvěryhodné kanály: Zneužití cloudové infrastruktury

Charakteristickým rysem této kampaně je zneužívání legitimních cloudových služeb pro skrytou komunikaci. Malware využívá rozhraní Microsoft Graph API spolu s poštovními schránkami Outlooku jako skrytý kanál Command-and-Control (C2). Vložením škodlivé komunikace do důvěryhodných platforem útočníci efektivně obcházejí tradiční perimetrickou obranu, což výrazně ztěžuje detekci.

Od Graphonu k GoGra: Vývoj aktéra hrozby

Skupina Harvester se poprvé dostala do povědomí veřejnosti koncem roku 2021, kdy byla spojována s kampaní zaměřenou na krádež informací zaměřenou na telekomunikační, vládní a IT sektor v jižní Asii. Během této fáze skupina nasadila vlastní implantát známý jako Graphon, který také využíval rozhraní Microsoft Graph API pro komunikaci C2.

V srpnu 2024 další aktivita spojila skupinu s operací proti mediální organizaci v regionu. Tato operace představila GoGra , dříve neviditelný backdoor založený na Go. Nedávná zjištění potvrzují, že Harvester rozšířil tuto schopnost i mimo prostředí Windows a nyní nasazoval linuxovou variantu stejné rodiny malwaru.

Klamlivý vstup: Sociální inženýrství a taktiky provádění

Počáteční infekce se silně spoléhá na techniky sociálního inženýrství. Oběti jsou manipulovány k otevření binárních souborů ELF maskovaných jako dokumenty PDF. Po spuštění dropper zobrazí návnadový dokument, aby si udržel iluzi legitimity, a zároveň tiše nasadí zadní vrátka na pozadí.

Pracovní postup velení a řízení: Přesnost a vytrvalost

Linuxová varianta GoGra kopíruje svou Windows verzi, pokud jde o komunikační logiku a operační postup. Interaguje s určenou složkou poštovní schránky Outlooku s názvem „Zomato Pizza“ a každé dvě sekundy ji dotazuje prostřednictvím dotazů Open Data Protocol (OData). Malware monitoruje příchozí zprávy a zpracovává pouze ty, které splňují specifická kritéria:

• E-maily s předmětem začínajícím na „Input“ jsou identifikovány jako pokyny k zadání úkolu.
• Tělo zprávy je dekódováno v Base64 a spuštěno jako příkazy shellu prostřednictvím /bin/bash.

• Výsledky provedení jsou odesílány prostřednictvím e-mailových odpovědí s předmětem „Výstup“.

• Původní e-maily s úkoly jsou po provedení smazány, aby se eliminovaly forenzní stopy.

Konzistentní vývojové otisky napříč platformami

Navzdory rozdílům v operačních systémech a metodách nasazení zůstává základní architektura C2 mezi verzemi pro Windows a Linux konzistentní. Výzkumníci také v obou variantách pozorovali shodné pravopisné chyby v kódu, což silně naznačuje, že za nástroji stojí společný vývojář nebo tým.

Strategické důsledky: Rozšíření útočné plochy

Zavedení backdooru založeného na Linuxu zdůrazňuje pokračující úsilí společnosti Harvester o diverzifikaci jejích možností a zvýšení provozní flexibility. Zaměřením se na více operačních systémů a využíváním důvěryhodných cloudových služeb se skupina staví do pozice, která jí umožňuje kompromitovat širší škálu prostředí a zároveň si zachovat nízký profil detekce.

Tento vývoj podtrhuje rostoucí sofistikovanost moderních aktérů hrozeb a potřebu adaptivní, na chování založené kybernetické obrany.