Tropidoor Bagdør

Tropidoor er et truende program, der er klassificeret som en bagdør. Bagdøre er en type malware designet til at give uautoriseret adgang til et kompromitteret system. Nogle varianter kan også downloade og installere yderligere skadelig software eller komponenter, hvilket øger sværhedsgraden af et angreb.

Tropidoors forbindelse til BeaverTail og nordkoreanske trusselsaktører

Tropidoor er blevet observeret i cyberangrebskampagner sammen med en downloader malware og et andet skadeligt program kaldet BeaverTail . Sidstnævnte er knyttet til nordkoreanske trusselsaktører og er blevet brugt til at målrette mod udviklere, især i Sydkorea.

Sådan leveres Tropidoor: Phishing-kampagner med rekrutteringstema

Cyberkriminelle har distribueret Tropidoor ved hjælp af phishing-e-mails med rekrutteringstema. Disse svigagtige beskeder efterlignede jobtilbud fra DEV-fællesskabet (dev.to) og indeholdt links til et BitBucket-lager, der hostede ondsindet kode. Depotet inkluderede BeaverTail og downloaderen, der udfører Tropidoor.

Beyond DEV Community: LinkedIn og andre angrebsvektorer

BeaverTail er blevet bredt spredt gennem phishing-kampagner på LinkedIn, hvor falske jobtilbud er brugt som lokkemad. Selvom disse kampagner har målrettet brugere over hele verden, ser størstedelen af ofrene ud til at være i Sydkorea.

Malwaredistributionstaktik: Phishing, Malvertising og mere

Malware som Tropidoor distribueres typisk gennem:

• Phishing-e-mails med usikre vedhæftede filer eller links
• Drive-by-downloads fra kompromitterede websteder
• Malvertising (usikre annoncer, der udløser downloads)
• Upålidelige softwarekilder, såsom freeware-websteder og P2P-netværk
• Piratkopieret software og ulovlige aktiveringsværktøjer (cracks)
• Falske softwareopdateringer
• Selvspredningsmekanismer ved hjælp af lokale netværk eller USB-drev

BitBucket Deception: Phishing-taktikken

Et andet phishingforsøg involverede e-mails, der efterlignede et firma kaldet AutoSquare. Ofrene blev bedt om at klone et BitBucket-projekt, som indeholdt en npm-pakke, der indeholdt både BeaverTail og en DLL-downloader-malware forklædt som car.dll. Denne downloader blev udført via en JavaScript-baseret tyver og loader.

Tropidoors evner: Et kraftfuldt cybervåben

Når den er udført, opererer Tropidoor i hukommelsen og interagerer med sin Command and Control (C2) server. Dette gør det muligt at:

• Indsaml systemoplysninger (enhedsnavn, OS-detaljer, hardwareoplysninger)
• Administrer filer (søg, slet, download, saml)
• Udfør og afslut processer
• Tag skærmbilleder
• Injicer ondsindet kode i kørende processer
• Indlæs og eksekver nyttelast i hukommelsen

An Evolving Threat: The Future of Tropidoor

Malwareudviklere forbedrer ofte deres værktøjer, og fremtidige versioner af Tropidoor kan introducere nye funktionaliteter. Denne udvikling gør det afgørende for cybersikkerhedsteams at forblive på vagt over for nye trusler.

Lazarus Group Connection: En velkendt taktik

Tropidoor deler ligheder med LightlessCan , en anden malware, der bruges af Lazarus Group , en nordkoreansk-tilknyttet hackerorganisation. Ligesom sin forgænger, BLINDINGCAN (alias AIRDRY eller ZetaNile), implementerer Tropidoor direkte Windows-kommandoer såsom schtasks, ping og reg for at blande sig med legitim systemaktivitet.

Beskyt dig selv: Hold dig sikker mod Tropidoor-angreb

For at mindske risikoen for infektion bør brugere:

• Vær forsigtig med vedhæftede filer og links
• Undgå at downloade software fra ubekræftede kilder
• Hold sikkerhedsrettelser og software opdateret
• Brug stærke, unikke adgangskoder

• Anvend velrenommerede værktøjer til anti-malware og slutpunktsbeskyttelse

Ved at forblive opmærksom og følge bedste praksis for cybersikkerhed kan enkeltpersoner og organisationer bedre forsvare sig mod sofistikerede trusler som Tropidoor.