Xctdoor Backdoor

Ο διακομιστής ενημέρωσης προμηθευτή ERP (Enterprise Resource Planning) της Νότιας Κορέας ανακαλύφθηκε παραβιασμένος, διανέμοντας μια κερκόπορτα που βασίζεται σε Go με το όνομα Xctdoor. Οι ερευνητές αποκάλυψαν αυτήν την επίθεση τον Μάιο του 2024 και ενώ δεν εντόπισαν συγκεκριμένο παράγοντα ή ομάδα απειλής, παρατήρησαν ομοιότητες με τις τακτικές που χρησιμοποίησε ο Andariel , μια υποομάδα που συνδέεται με τη διαβόητη Ομάδα Lazarus .

Αυτές οι τακτικές απηχούν προηγούμενα περιστατικά που αφορούσαν τον αντίπαλο της Βόρειας Κορέας, ο οποίος στο παρελθόν εκμεταλλεύτηκε τη λύση ERP για να διαδώσει κακόβουλο λογισμικό όπως το HotCroissant (γνωστό και ως Rifdoor ) το 2017. Αυτό επιτεύχθηκε με την εμφύτευση κακόβουλου κώδικα σε έναν μηχανισμό ενημέρωσης λογισμικού.

Το Xctdoor Backdoor παρέχει στους επιτιθέμενους πολυάριθμες επιβλαβείς δυνατότητες

Κατά τη διάρκεια της ανάλυσης επίθεσης, καθορίστηκε ότι το εκτελέσιμο αρχείο τροποποιήθηκε για την εκτέλεση ενός αρχείου DLL από μια συγκεκριμένη διαδρομή χρησιμοποιώντας τη διαδικασία regsvr32.exe αντί για την εκκίνηση ενός προγράμματος λήψης. Αυτό το αρχείο DLL, γνωστό ως Xctdoor, διαθέτει δυνατότητες καταγραφής πληροφοριών συστήματος, όπως πληκτρολογήσεις, στιγμιότυπα οθόνης και περιεχόμενα του προχείρου, καθώς και την εκτέλεση εντολών που εκδίδονται από τον εισβολέα.

Το Xctdoor επικοινωνεί με έναν διακομιστή Command-and-Control (C2) μέσω HTTP, με κρυπτογράφηση πακέτων που χρησιμοποιεί τους αλγόριθμους Mersenne Twister (MT19937) και Base64. Η επίθεση περιλαμβάνει επίσης μια άλλη παραλλαγή κακόβουλου λογισμικού που ονομάζεται XcLoader, που έχει σχεδιαστεί για να εισάγει το Xctdoor σε νόμιμες διαδικασίες όπως το 'explorer.exe'. Πρόσφατα ευρήματα υποδεικνύουν περιπτώσεις όπου οι ανεπαρκώς ασφαλείς διακομιστές Ιστού έχουν παραβιαστεί για την εγκατάσταση του XcLoader τουλάχιστον από τον Μάρτιο του 2024.

Η ίδια διαδικασία που γίνεται κατάχρηση από άλλες απειλές κακόβουλου λογισμικού

Η διαδικασία regsvr32.exe έχει αξιοποιηθεί σε άλλες καμπάνιες που συνδέονται με τη Βόρεια Κορέα, ιδίως από την ομάδα Kimsuky APT. Έχουν χρησιμοποιήσει μια άγνωστη κερκόπορτα με το όνομα HappyDoor, η οποία λειτουργεί τουλάχιστον από τον Ιούλιο του 2021.

Αυτές οι αλληλουχίες επίθεσης συνήθως ξεκινούν με emails spear-phishing που διανέμουν ένα συμπιεσμένο αρχείο. Μέσα σε αυτό το αρχείο, βρίσκεται μια ασαφής JavaScript ή dropper, η οποία, κατά την εκτέλεση, εκκινεί το HappyDoor μαζί με ένα αρχείο δόλωμα. Το HappyDoor, που υλοποιείται ως αρχείο DLL μέσω του regsvr32.exe, δημιουργεί επικοινωνία με έναν απομακρυσμένο διακομιστή μέσω HTTP. Στις λειτουργίες του περιλαμβάνονται η κλοπή δεδομένων, οι δυνατότητες λήψης/φόρτωσης αρχείων και η δυνατότητα αυτόματης ενημέρωσης και τερματισμού διαδικασιών.

Οι λοιμώξεις της κερκόπορτας μπορεί να έχουν σοβαρές συνέπειες για τα θύματα

Τα θύματα μολύνσεων από κακόβουλο λογισμικό backdoor μπορεί να αντιμετωπίσουν σοβαρές συνέπειες λόγω της κρυφής και επίμονης φύσης αυτών των απειλών. Ακολουθούν ορισμένες πιθανές επιπτώσεις:

• Κλοπή Δεδομένων : Τα backdoors συχνά επιτρέπουν στους εισβολείς να συλλέγουν ιδιωτικές πληροφορίες, όπως διαπιστευτήρια σύνδεσης, οικονομικά δεδομένα, πνευματική ιδιοκτησία και προσωπικά αρχεία. Αυτά τα δεδομένα που συλλέγονται μπορούν να αξιοποιηθούν για οικονομικό όφελος ή να χρησιμοποιηθούν σε περαιτέρω επιθέσεις.
• Παρακολούθηση και παρακολούθηση : Οι κερκόπορτες μπορούν να επιτρέπουν στους εισβολείς να παρακολουθούν και να παρακολουθούν τις δραστηριότητες του θύματος, συμπεριλαμβανομένων των πληκτρολογήσεων, των στιγμιότυπων οθόνης, των τροφοδοτήσεων κάμερας web και της εισαγωγής μικροφώνου. Αυτή η παραβίαση της ιδιωτικής ζωής μπορεί να οδηγήσει σε προσωπική ή εταιρική κατασκοπεία.
• Μη εξουσιοδοτημένη πρόσβαση : Οι εισβολείς μπορούν να αποκτήσουν παρατεταμένη μη εξουσιοδοτημένη πρόσβαση σε παραβιασμένα συστήματα. Αυτή η πρόσβαση μπορεί να χρησιμοποιηθεί για χειρισμό ή δολιοφθορά συστημάτων, διακοπή λειτουργίας ή ακόμα και ανάπτυξη πρόσθετου κακόβουλου λογισμικού.
• Συμβιβασμός συστήματος : Οι κερκόπορτες συχνά αποδυναμώνουν τη συνολική θέση ασφαλείας του συστήματος, καθιστώντας το ευάλωτο σε περαιτέρω εκμετάλλευση. Αυτό μπορεί να οδηγήσει σε παραβίαση άλλων συνδεδεμένων συστημάτων ή πόρων εντός του δικτύου.
• Οικονομική Ζημιά : Οι επιχειρήσεις μπορεί να υποστούν οικονομικές ζημίες λόγω κλοπής κεφαλαίων, απώλειας επιχειρηματικών ευκαιριών, νομικών υποχρεώσεων και δαπανών που σχετίζονται με προσπάθειες αποκατάστασης και ανάκτησης.
• Ζημιά στη φήμη : Για τους οργανισμούς, μια μόλυνση από την κερκόπορτα μπορεί να οδηγήσει σε βλάβη της φήμης, απώλεια εμπιστοσύνης των πελατών και μειωμένη αξία της επωνυμίας. Αυτό μπορεί να έχει μακροπρόθεσμες συνέπειες στις επιχειρηματικές σχέσεις και λειτουργίες.
• Διακοπή λειτουργίας : Οι οπίσθιες πόρτες μπορούν να διαταράξουν την κανονική λειτουργία προκαλώντας σφάλματα συστήματος, επιβράδυνση ή άρνηση συνθηκών λειτουργίας. Αυτό μπορεί να οδηγήσει σε χρόνο διακοπής λειτουργίας, απώλεια παραγωγικότητας και οικονομικές επιπτώσεις λόγω διακοπής των υπηρεσιών.
• Ρυθμιστικά θέματα και θέματα συμμόρφωσης : Οι οργανισμοί ενδέχεται να αντιμετωπίσουν ρυθμιστικά πρόστιμα και νομικές συνέπειες εάν τα παραβιασμένα συστήματα χειρίζονται ευαίσθητα δεδομένα που υπόκεινται στους νόμους περί απορρήτου ή στους κανονισμούς του κλάδου.
• Δυσκολία στον εντοπισμό και την αφαίρεση : Οι κερκόπορτες έχουν σχεδιαστεί για να αποφεύγουν τον εντοπισμό με μέτρα ασφαλείας, όπως λογισμικό κατά του κακόβουλου λογισμικού και τείχη προστασίας. Ο εντοπισμός και η πλήρης αφαίρεσή τους μπορεί να είναι πρόκληση, απαιτώντας εξειδικευμένες γνώσεις και εργαλεία.
• Μακροπρόθεσμη ευπάθεια : Ακόμη και μετά την αρχική αποκατάσταση, τα παραβιασμένα συστήματα ενδέχεται να παραμείνουν ευάλωτα σε μελλοντικές επιθέσεις ή επίμονες προσπάθειες επανενεργοποίησης κερκόπορτας από αποφασισμένους εισβολείς.

Συνολικά, οι συνέπειες των μολύνσεων από κακόβουλο λογισμικό κερκόπορτας μπορεί να είναι σοβαρές και πολύπλευρες, επηρεάζοντας τόσο άτομα όσο και οργανισμούς από άποψη οικονομικής, λειτουργικής και φήμης ζημίας, καθώς και θέτοντας σε κίνδυνο το απόρρητο και την ασφάλειά τους.