KTLVdoor Backdoor

Η κινεζόφωνη ομάδα απειλών, γνωστή ως Earth Lusca, εντοπίστηκε να αναπτύσσει μια νέα κερκόπορτα που ονομάζεται KTLVdoor σε μια επίθεση στον κυβερνοχώρο εναντίον μιας άγνωστης εμπορικής εταιρείας στην Κίνα. Αυτό το κακόβουλο λογισμικό που ανακαλύφθηκε πρόσφατα, που αναπτύχθηκε στο Golang, έχει σχεδιαστεί για να είναι cross-platform, στοχεύοντας τόσο σε συστήματα Microsoft Windows όσο και Linux.

Το KTLVdoor διαθέτει έντονη συσκότιση και μεταμφιέζεται σε διάφορα βοηθητικά προγράμματα συστήματος. Αυτό επιτρέπει στους εισβολείς να εκτελούν μια σειρά από κακόβουλες δραστηριότητες, συμπεριλαμβανομένου του χειρισμού αρχείων, της εκτέλεσης εντολών και της απομακρυσμένης σάρωσης θυρών.

Μίμηση νόμιμων εργαλείων

Το KTLVdoor μεταμφιέζεται ως πολλά εργαλεία, όπως sshd, Java, SQLite, bash και edr-agent, μεταξύ άλλων. Το κακόβουλο λογισμικό διανέμεται είτε ως βιβλιοθήκη δυναμικής σύνδεσης (.dll) είτε ως κοινόχρηστο αντικείμενο (.so).

Μια αξιοσημείωτη πτυχή αυτής της δραστηριότητας είναι η αναγνώριση περισσότερων από 50 διακομιστών Command-and-Control (C&C), που φιλοξενούνται όλοι από την κινεζική εταιρεία Alibaba. Αυτοί οι διακομιστές έχουν συνδεθεί με διάφορες παραλλαγές κακόβουλου λογισμικού, υποδηλώνοντας τη δυνατότητα για κοινή υποδομή με άλλους κινέζους παράγοντες απειλών.

Οι Threat Actors είναι ενεργοί εδώ και αρκετά χρόνια

Η Earth Lusca δραστηριοποιείται τουλάχιστον από το 2021, πραγματοποιώντας επιθέσεις στον κυβερνοχώρο που στοχεύουν φορείς τόσο του δημόσιου όσο και του ιδιωτικού τομέα σε όλη την Ασία, την Αυστραλία, την Ευρώπη και τη Βόρεια Αμερική. Η ομάδα πιστεύεται ότι έχει κάποιες τακτικές ομοιότητες με άλλα σύνολα εισβολής γνωστά ως RedHotel και APT27 (αναφέρονται επίσης ως Budworm, Emissary Panda και Iron Tiger).

Το πιο πρόσφατο κακόβουλο λογισμικό της ομάδας, το KTLVdoor, είναι πολύ ασαφές. Προέρχεται το όνομά του από έναν δείκτη με την ένδειξη "KTLV" που βρίσκεται στο αρχείο διαμόρφωσής του, ο οποίος περιλαμβάνει διάφορες παραμέτρους απαραίτητες για τις λειτουργίες του, όπως τους διακομιστές Command-and-Control (C&C) στους οποίους συνδέεται.

Πολλά άγνωστα παραμένουν ακόμα

Μόλις ενεργοποιηθεί, το κακόβουλο λογισμικό επικοινωνεί επανειλημμένα με τον διακομιστή Command-and-Control (C&C), περιμένοντας περαιτέρω οδηγίες για εκτέλεση στο παραβιασμένο σύστημα. Υποστηρίζει διάφορες εντολές, όπως λήψη και αποστολή αρχείων, απαρίθμηση του συστήματος αρχείων, εκκίνηση διαδραστικού κελύφους, εκτέλεση shellcode και διεξαγωγή σαρώσεων χρησιμοποιώντας εργαλεία όπως ScanTCP, ScanRDP, DialTLS, ScanPing και ScanWeb, μεταξύ άλλων.

Ωστόσο, οι λεπτομέρειες σχετικά με το πώς διανέμεται το κακόβουλο λογισμικό και εάν έχει χρησιμοποιηθεί εναντίον άλλων στόχων παγκοσμίως παραμένουν ασαφείς.

Ενώ η Earth Lusca χρησιμοποιεί αυτό το νέο εργαλείο, υπάρχει πιθανότητα να χρησιμοποιηθεί και από άλλους κινεζόφωνους φορείς απειλών. Το γεγονός ότι όλοι οι διακομιστές C&C φιλοξενούνταν σε διευθύνσεις IP από την Alibaba, έναν Κινέζο πάροχο, οδήγησε τους ερευνητές να υποθέσουν ότι το κακόβουλο λογισμικό και η υποδομή C&C του θα μπορούσαν να αποτελούν μέρος μιας πρώιμης φάσης δοκιμών για νέα εργαλεία.

Απειλές στην κερκόπορτα εκθέτουν τα θύματα σε σοβαρές συνέπειες

Το κακόβουλο λογισμικό backdoor ενέχει σοβαρούς κινδύνους επειδή παρέχει στους εισβολείς μη εξουσιοδοτημένη, μυστική πρόσβαση σε παραβιασμένα συστήματα, παρακάμπτοντας τα συνήθη μέτρα ασφαλείας. Μερικές από τις πιο σημαντικές απειλές που σχετίζονται με το backdoor malware περιλαμβάνουν:

• Μόνιμος έλεγχος : Οι κερκόπορτες επιτρέπουν στους επιτιθέμενους να διατηρούν μακροπρόθεσμη πρόσβαση σε ένα σύστημα, συχνά μη ανιχνεύσιμη. Αυτή η μόνιμη πρόσβαση επιτρέπει στους εισβολείς να παρακολουθούν και να χειρίζονται συνεχώς το σύστημα με την πάροδο του χρόνου, καθιστώντας δύσκολη την εξάλειψη της απειλής.
• Κλοπή δεδομένων : Οι εισβολείς μπορούν να συλλέξουν ευαίσθητες πληροφορίες, όπως οικονομικά δεδομένα, πνευματική ιδιοκτησία, διαπιστευτήρια σύνδεσης και εμπιστευτικές επικοινωνίες. Αυτά τα συγκεντρωμένα δεδομένα μπορούν να πωληθούν, να χρησιμοποιηθούν για απάτη ή να οδηγήσουν σε περαιτέρω επιθέσεις, συμπεριλαμβανομένης της κλοπής ταυτότητας ή της κατασκοπείας.
• Εκμετάλλευση δικτύου : Μόλις μπει μέσα, ένα κακόβουλο λογισμικό backdoor μπορεί να εξαπλωθεί πλευρικά σε ένα δίκτυο, μολύνοντας άλλες συσκευές και επεκτείνοντας το εύρος της επίθεσης. Αυτό μπορεί να οδηγήσει σε πλήρη παραβίαση του δικτύου, επιτρέποντας στους εισβολείς να ελέγχουν πολλά συστήματα ταυτόχρονα.
• Παράδοση άλλων κακόβουλων λογισμικών : Οι πόρτες παρασκηνίου μπορούν να χρησιμοποιηθούν ως μηχανισμός παράδοσης πρόσθετου κακόβουλου λογισμικού, όπως ransomware, spyware ή keyloggers, που μπορεί να προκαλέσουν περαιτέρω ζημιά και διακοπή.
• Χειρισμός συστήματος και δολιοφθορά : Οι εισβολείς μπορούν να εκτελέσουν εντολές στο μολυσμένο σύστημα, αλλάζοντας διαμορφώσεις, διαγράφοντας ή καταστρέφοντας αρχεία, απενεργοποιώντας τα εργαλεία ασφαλείας και διακόπτοντας κρίσιμες υπηρεσίες. Σε περιπτώσεις βιομηχανικών ή κυβερνητικών συστημάτων, αυτό θα μπορούσε να οδηγήσει σε σοβαρές λειτουργικές ή υποδομές ζημιές.
• Απομακρυσμένη παρακολούθηση και έλεγχος : Το κακόβουλο λογισμικό Backdoor επιτρέπει στους εισβολείς να παρακολουθούν σιωπηλά τις δραστηριότητες, να καταγράφουν πατήματα πλήκτρων, να καταγράφουν στιγμιότυπα οθόνης και να καταγράφουν τη συμπεριφορά των χρηστών. Αυτό το επίπεδο επιτήρησης μπορεί να θέσει σε κίνδυνο τις πολιτικές ασφαλείας και να επιτρέψει στον εισβολέα να εκμεταλλευτεί τα τρωτά σημεία χωρίς εντοπισμό.
• Κλιμάκωση προνομίων : Οι επιτιθέμενοι συχνά χρησιμοποιούν κερκόπορτες για να κλιμακώσουν τα προνόμιά τους σε ένα σύστημα, δίνοντάς τους πλήρη διοικητικό έλεγχο. Αυτό τους επιτρέπει να παρακάμπτουν τα πρωτόκολλα ασφαλείας, καθιστώντας σχεδόν αδύνατο για τους νόμιμους χρήστες ή τις ομάδες ασφαλείας να ανακτήσουν τον έλεγχο.

Συνοπτικά, ένα κακόβουλο λογισμικό backdoor είναι μια σοβαρή απειλή επειδή παρέχει στους εισβολείς μακροπρόθεσμη, κρυφή πρόσβαση στα συστήματα, δίνοντάς τους τη δυνατότητα να κλέβουν δεδομένα, να διαδίδουν κακόβουλο λογισμικό, να χειρίζονται λειτουργίες και να υπονομεύουν ολόκληρα δίκτυα, ενώ είναι δύσκολο να εντοπιστούν και να εξαλειφθούν.