Auto-Color Backdoor

2025. aasta aprillis USA-s asuva keemiaettevõtte vastu suunatud keerukas küberrünnakukampaanias kasutasid ründajad ära SAP NetWeaveri nüüdseks parandatud kriitilist haavatavust, et juurutada Auto-Color tagauks. See intsident toob esile jätkuvad riskid, mida kujutavad endast parandamata süsteemid ja kõrge väärtusega sihtmärkidele suunatud täiustatud pahavaraohud.

CVE-2025-31324 ärakasutamine: värav koodi kaugkäivitamiseks

Rünnaku keskmes on CVE-2025-31324, kriitiline autentimata failide üleslaadimise haavatavus SAP NetWeaveris. See viga võimaldab koodi kaugkäivitamist (RCE) ja SAP parandas selle 2025. aasta aprillis. Vaatamata parandusele kasutasid ründajad ära parandamata süsteeme, et rikkuda avalikult ligipääsetavat seadet. Rünnak kestis kolm päeva ja hõlmas pahatahtlikke failide allalaadimisi ja suhtlust Auto-Colori pahavaraga seotud infrastruktuuriga.

Auto-Color: salakaval ja keerukas tagauks

Esmakordselt 2025. aasta veebruaris analüüsitud Auto-Color toimib sarnaselt Linuxi keskkondade nakatamiseks loodud kaugjuurdepääsu troojaga (RAT). Seda on varem nähtud rünnakutes, mis olid suunatud ülikoolidele ja valitsusasutustele Põhja-Ameerikas ja Aasias 2024. aasta novembrist detsembrini.

Üks Auto-Colori kõige ilmekamaid omadusi on võime varjata oma pahatahtlikku käitumist, kui see ei pääse oma juhtimis- ja juhtimisserveriga (C2) ühendust. See omadus viitab kõrgetasemelisele operatiivsele turvalisusele ja kavatsusele vältida avastamist intsidentidele reageerimise või liivakasti analüüsi ajal.

Automaatse värvimise põhifunktsioonid

Auto-Color pakub laia valikut pahatahtlikke funktsioone, mis on loodud ohustatud süsteemide üle sügava kontrolli tagamiseks. Nende hulka kuuluvad:

• Pöördkesta võimalused
• Faili loomine ja käivitamine
• Süsteemi puhverserveri konfiguratsioon
• Globaalse kasuliku koormuse muutmine
• Süsteemi profileerimine
• Enesekustutamine tapmislüliti abil

Need funktsioonid võimaldavad ründajatel mitte ainult säilitada püsivat juurdepääsu, vaid ka dünaamiliselt kohaneda ja vajadusel tõendeid kustutada.

Rünnaku ajajoon: kalkuleeritud infiltratsioon

Turvaeksperdid tuvastasid sissetungi 28. aprillil, kui internetiühendusega serveril, millel tõenäoliselt töötas SAP NetWeaver, avastati kahtlane ELF-binaarfail. Esialgsed luure- ja skaneerimismärgid algasid aga väidetavalt vähemalt kolm päeva varem, mis viitab hoolikale planeerimisele.

Ründajad kasutasid CVE-2025-31324 teise etapi kasuliku koodi edastamiseks, mis oli ELF-binaarfail, mis osutus Auto-Color tagaukseks. Pärast juurutamist näitas pahavara sügavat arusaamist Linuxi süsteemidest ja teostas toiminguid mõõdetud täpsusega, minimeerides oma jalajälge, et vältida varajast avastamist.

Äratuskell ettevõtte turvalisusele

See intsident rõhutab kriitilise infrastruktuuri õigeaegse parandamise ja pideva jälgimise olulisust. Keerukas pahavara nagu Auto-Color koos ettevõtteplatvormide (nt SAP NetWeaver) haavatavustega kujutab endast märkimisväärset ohtu organisatsioonidele kõigis sektorites. IT-meeskonnad peavad haavatavuste haldamise prioriteediks seadma ning olema valmis avastama ja reageerima varjatud ja püsivatele ohtudele.