RustDoor Backdoor

Nově objevená zadní vrátka macOS, kódovaná v Rustu, byla propojena se známými ransomwarovými skupinami Black Basta a Alphv/BlackCat. Malware se jmenuje RustDoor a předstírá, že Visual Studio podporuje architektury Intel i Arm a je v oběhu od listopadu 2023, přičemž se mu podařilo uniknout detekci po několik měsíců.

Výzkumníci identifikovali různé verze RustDoor, všechny sdílejí stejnou funkci zadních vrátek s malými rozdíly. Všechny tyto varianty podporují řadu příkazů pro sběr a exfiltraci souborů a také shromažďování informací o infikovaném zařízení. Shromážděná data jsou poté přenesena na server Command-and-Control (C&C), kde je vygenerováno ID oběti a použito při následné komunikaci.

Backdoor RustDoor se vyvíjel ve svých nebezpečných schopnostech

Zdá se, že počáteční verze RustDoor Backdoor, zjištěná v listopadu 2023, fungovala jako testovací verze. Postrádal komplexní mechanismus perzistence a obsahoval „testovací“ soubor plist.

Druhá varianta, o které se předpokládá, že se objevila o měsíc později, měla větší soubory a zahrnovala sofistikovanou konfiguraci JSON a skript Apple určený pro exfiltraci konkrétních dokumentů ze složek Documents a Desktop a uživatelských poznámek.

Po zavedení na kompromitovaných systémech malware zkopíruje cílené dokumenty a data do skryté složky, zkomprimuje je do archivu ZIP a poté je přenese na server Command-and-Control (C&C). Některé konfigurace specifikují pokyny ke sběru dat, jako je maximální velikost a počet souborů, seznamy cílových přípon a adresářů nebo adresáře, které mají být vyloučeny. Výzkumníci také zjistili, že konfigurační soubor RustDoor umožňuje zosobnění různých aplikací s možnostmi přizpůsobení falešného dialogu s heslem správce.

Konfigurace JSON odkazuje na čtyři mechanismy persistence, které využívají cronjobs, LaunchAgents (vedoucí ke spuštění při přihlášení), upravující soubor tak, aby zajistil spuštění při otevření nové relace ZSH a přidání binárního souboru do doku.

Byla objevena třetí varianta zadních vrátek a zdá se, že je to ta původní. Postrádá složitost, skript Apple a vestavěnou konfiguraci přítomnou v jiných variantách RustDoor.

Malware využívá tři servery C&C dříve propojené s kampaněmi Black Basta a Alphv/BlackCat Ransomware. BlackCat, první ransomware pro šifrování souborů v programovacím jazyce Rust, se objevil v roce 2021 a byl rozebrán v prosinci 2023.

Backdoor malwarové útoky mohou mít pro oběti vážné následky

Přítomnost backdoor malwaru na zařízeních uživatelů představuje značná a různá nebezpečí, protože umožňuje neoprávněný přístup zlomyslným aktérům. Zde jsou některá potenciální nebezpečí spojená s napadením zařízení uživatelů malwarem typu backdoor:

• Neoprávněný přístup a kontrola : Zadní vrátka poskytují útočníkům tajný vstupní bod, který jim umožňuje získat neoprávněný přístup k infikovanému zařízení. Jakmile jsou uvnitř, mohou převzít kontrolu nad různými funkcemi, manipulovat se soubory a provádět příkazy bez vědomí nebo souhlasu uživatele.
• Krádež a exfiltrace dat : Zadní vrátka často umožňují krádež a exfiltraci citlivých dat uložených na napadeném zařízení. Útočníci mají přístup k osobním údajům, finančním údajům, přihlašovacím údajům a dalším důvěrným údajům, což vede k potenciální krádeži identity, finanční ztrátě nebo narušení soukromí.
• Špionáž a sledování : Backdoor malware je běžně spojován se špionážními aktivitami. Útočníci mohou pomocí zadních vrátek špehovat uživatele, sledovat jejich aktivity, pořizovat snímky obrazovky, zaznamenávat úhozy a dokonce přistupovat k webovým kamerám nebo mikrofonům, čímž narušují soukromí uživatelů.
• Nasazení ransomwaru : Zadní vrátka se někdy používají jako brána pro nasazení ransomwaru. Jakmile útočníci získají přístup přes zadní vrátka, mohou zašifrovat soubory uživatele a požadovat výkupné za jejich vydání, což způsobí značné narušení a finanční ztráty.
• Manipulace a narušení systému : Zadní vrátka mohou útočníkům umožnit manipulovat s nastavením systému, narušovat běžné operace nebo dokonce deaktivovat bezpečnostní opatření. To může vést k nestabilitě systému a pádům a ztížit uživatelům efektivní používání jejich zařízení.
• Šíření a šíření po síti : Některá zadní vrátka mají schopnosti samoreprodukce, což jim umožňuje šířit se po sítích a infikovat další zařízení. To může mít za následek kompromitaci celých sítí s dopadem na více uživatelů a organizací.
• Ohrožená síťová bezpečnost : Backdoors lze použít k obejití síťových bezpečnostních opatření, což útočníkům usnadňuje infiltraci do širších organizačních sítí. To může vést k dalším narušením zabezpečení a narušit integritu citlivých firemních nebo vládních informací.

Ke zmírnění těchto rizik je zásadní, aby uživatelé zavedli robustní opatření v oblasti kybernetické bezpečnosti, včetně pravidelných aktualizací softwaru, používání renomovaných antivirových programů a praktikování bezpečného online chování, aby se nestali obětí útoků backdoor malwaru. Kromě toho by organizace měly implementovat silné protokoly zabezpečení sítě, aby mohly rychle detekovat a zvládat potenciální hrozby.