TorNet Backdoor
Finančně motivovaný aktér hrozeb organizuje phishingovou e-mailovou kampaň minimálně od července 2024 se zvláštním zaměřením na uživatele v Polsku a Německu. Tato kampaň vedla k nasazení mnoha hrozeb, včetně Agent Tesla , Snake Keylogger a nově identifikovaných zadních vrátek s názvem TorNet.
TorNet odvozuje svůj název od své schopnosti usnadnit komunikaci mezi útočníkem a napadeným systémem prostřednictvím anonymní sítě TOR. Kampaň předvádí pokročilé únikové techniky, které umožňují útočníkům pracovat tajně a zároveň zachovat trvalý přístup k infikovaným strojům.
Obsah
Chytrá úniková taktika zajišťuje kradmé vniknutí
Jedním z klíčových mechanismů persistence používaných aktérem hrozby je plánování úloh systému Windows na zařízeních obětí, včetně těch, která běží na vybitou baterii. Útočníci navíc před nasazením datové části odpojí kompromitovaný systém od sítě a poté jej znovu připojí. Tato taktika pomáhá obejít detekci pomocí cloudových bezpečnostních řešení a snižuje pravděpodobnost včasné identifikace hrozeb.
Podvodné phishingové e-maily s sebou nesou nebezpečné zatížení
Útok začíná pečlivě vytvořenými phishingovými e-maily, které se tváří jako legitimní finanční instituce nebo logistické a výrobní společnosti. Tyto e-maily často obsahují falešná potvrzení o převodu peněz nebo podvodné potvrzení objednávky.
Aby se útočníci dále vyhnuli detekci, připojují komprimované soubory s příponou '.tgz'. Tato neobvyklá volba pomáhá souborům proklouznout přes bezpečnostní filtry a zvýšit tak pravděpodobnost, že je příjemci otevřou.
Vícefázové provedení uvolňuje TorNet
Jakmile příjemce rozbalí a otevře připojený archiv, spustí se zavaděč .NET. Tento zavaděč je zodpovědný za načítání a spouštění PureCrypter přímo v paměti, čímž připravuje půdu pro další kompromisy.
PureCrypter poté spustí zadní vrátka TorNet, ale ne dříve, než provede několik bezpečnostních kontrol. Patří mezi ně opatření proti ladění, detekce virtuálních strojů a další techniky navržené tak, aby se vyhnuly analýze a nástrojům proti hrozbám.
TorNet Backdoor rozšiřuje útočnou plochu
Po úspěšném nasazení zadní vrátka TorNet naváže spojení se svým Command-and-Control (C2) serverem a zároveň propojí infikované zařízení se sítí TOR. Toto spojení umožňuje aktérovi hrozby udržovat komunikaci s napadeným systémem a přitom zůstat anonymní.
TorNet je schopen přijímat a spouštět libovolná .NET sestavení přímo v paměti, což výrazně rozšiřuje útočnou plochu. Stažením a spuštěním dalších nebezpečných dat ze serveru C2 mohou útočníci eskalovat své aktivity, což vede k dalším průnikům do systému a potenciálním únikům dat.
TorNet Backdoor Video
Tip: Zapněte zvuk ON a sledovat video v režimu celé obrazovky.
