UDPGangster Bagdør

En trusselskampagne tilskrevet den iransk-tilknyttede gruppe MuddyWater har afsløret implementeringen af en nyligt identificeret bagdør kaldet UDPGangster. I modsætning til konventionel malware, der er afhængig af TCP-baseret kommunikation, bruger dette værktøj User Datagram Protocol som sin kommando-og-kontrolkanal, hvilket gør dets trafik vanskeligere for traditionelle sikkerhedsløsninger at opdage. Når bagdøren er aktiv, giver den fuld fjernmanipulation af kompromitterede systemer, hvilket muliggør kommandoudførelse, filtyveri og levering af sekundær malware.

Regional målretning og spionagemotiver

Forskere rapporterer, at ofrene primært er blevet identificeret i Tyrkiet, Israel og Aserbajdsjan. Operationens karakter, kombineret med dens geografiske fokus, signalerer en målrettet spionageindsats, der sigter mod at indsamle efterretninger og få fodfæste i fjerntliggende områder.

Phishing-lokkemidler og ondsindede dokumenter

Angriberne bruger i høj grad spear-phishing til at infiltrere netværk. E-mails, der udgiver sig for at være det udenrigsministerium for Den Tyrkiske Republik Nordcypern, blev sendt til intetanende modtagere, hvor de falsk inviterede til et online seminar med titlen 'Præsidentvalg og resultater'.

Vedhæftet disse e-mails var to identiske versioner af det ondsindede dokument: et ZIP-arkiv med navnet seminer.zip og en Word-fil med titlen seminer.doc. Når dokumentet åbnes, beder det brugeren om at aktivere makroer, så dets integrerede nyttelast kan køre lydløst. For at maskere den ondsindede aktivitet viser makroen et hebraisk-sproget lokkeduebillede fra den israelske telekommunikationsudbyder Bezeq, der angiveligt beskriver planlagte serviceafbrydelser i begyndelsen af november 2025.

Makroudførelse og levering af nyttelast

Når makroer er aktiveret, bruger dropperen Document_Open()-hændelsen til automatisk at afkode Base64-data, der er gemt i et skjult formularfelt. Det resulterende indhold skrives til:

C:\Brugere\Offentlig\ui.txt

Denne fil startes derefter via Windows API'en CreateProcessA, hvilket starter UDPGangster-bagdøren.

Stealth by Design: Vedholdenhed og anti-analysetaktikker

UDPGangster sikrer sin tilstedeværelse på værten gennem Windows Registry Persistens. Den inkorporerer også en bred vifte af antianalyseteknikker, der sigter mod at modvirke virtuelle miljøer, sandkasser og retsmedicinsk undersøgelse. Disse omfatter:

• Miljø- og virtualiseringstjek
• Testning af aktiv fejlfinding
• Inspektion af CPU-karakteristika for tegn på virtuelle maskiner

• Identifikation af systemer med mindre end 2 GB RAM

• Validering af MAC-adressepræfikser for at detektere VM-leverandører

• Kontrol af om enheden tilhører standard Windows-arbejdsgruppen

• Scanning efter processer som VBoxService.exe, VBoxTray.exe, vmware.exe og vmtoolsd.exe

• Gennemgang af registreringsdatabaseposter for virtualiseringsidentifikatorer, herunder VBox, VMBox, QEMU, VIRTUAL, VIRTUALBOX, VMWARE og Xen

• Søger efter kendte sandboxing- eller debugging-værktøjer

• Bestemmelse af, om udførelsen finder sted i et analysemiljø

Først når disse kontroller er fjernet, begynder malwaren at infiltrere systemdata og kommunikere med sin eksterne server på UDP-port 1269 på 157.20.182[.]75. Gennem denne kanal kan den køre shell-kommandoer via cmd.exe, overføre filer, opdatere konfigurationsdetaljer og implementere opfølgende nyttelast.

Operationelle kapaciteter og datatyveri

Efter validering indsamler malwaren systemmetadata og sender dem til den eksterne C2-server. Dens UDP-baserede kommunikation giver angribere mulighed for at interagere med den inficerede vært i realtid og instruere den i at udføre kommandoer, opgradere bagdøren eller fjerne yderligere ondsindede moduler efter behov. Denne struktur understøtter både rekognoscering og langvarige spionageoperationer.

Afbødning og bevidsthed

Da infektionskæden afhænger af makroaktiverede phishing-dokumenter, er brugerbevidsthed fortsat en kritisk forsvarsforanstaltning. Mistænkelige eller uopfordrede vedhæftede filer, især dem, der opfordrer til makroaktivering, bør behandles med ekstrem forsigtighed. Organisationer bør håndhæve makrorestriktioner, implementere adfærdsovervågningsløsninger og træne brugere i at genkende målrettede phishing-taktikker.

Anbefalede forsvarsforanstaltninger

• Begræns eller deaktiver makroer på tværs af organisationen.
• Implementer endpoint-beskyttelse, der er i stand til at detektere makrobaserede droppere.
• Overvåg for usædvanlig udgående UDP-trafik.
• Marker kommunikationsforsøg til ukendte eller mistænkelige porte.
• Uddan personalet i målrettede phishing-indikatorer.

Ved at kombinere vildledende lokkemidler, diskret makroeksekvering og avancerede undvigelsesmetoder demonstrerer MuddyWaters UDPGangster-kampagne et fornyet fokus på skjult adgang og regional efterretningsindsamling. Det er afgørende at være på vagt over for dokumentbaserede angreb for at forhindre sådanne trusler i at få fodfæste.