Auto-Color Backdoor
במתקפת סייבר מתוחכמת שכוונה נגד חברת כימיקלים אמריקאית באפריל 2025, ניצלו גורמי איום פגיעות קריטית שכבר תוקנה ב-SAP NetWeaver כדי לפרוס את הדלת האחורית Auto-Color. התקרית מדגישה את הסיכונים המתמשכים הנשקפים ממערכות שלא תוקנו ואיומי תוכנות זדוניות מתקדמות המכוונות נגד מטרות בעלות ערך גבוה.
תוכן העניינים
ניצול CVE-2025-31324: שער לביצוע קוד מרחוק
בליבת המתקפה נמצאת CVE-2025-31324, פגיעות קריטית של העלאת קבצים לא מאומתים ב-SAP NetWeaver. פגם זה מאפשר ביצוע קוד מרחוק (RCE) ותוקן על ידי SAP באפריל 2025. למרות התיקון, גורמי איום ניצלו מערכות שלא תוקנו כדי לפגוע במכשיר שנחשף לציבור. המתקפה התפתחה במשך שלושה ימים וכללה הורדות קבצים זדוניים ותקשורת עם תשתית המקושרת לתוכנה הזדונית Auto-Color.
צבע אוטומטי: דלת אחורית חשאית ומתוחכמת
Auto-Color, שנותח לראשונה בפברואר 2025, מתפקד באופן דומה לסוס טרויאני לגישה מרחוק (RAT) שנועד להדביק סביבות לינוקס. בעבר הוא נצפה בהתקפות שכוונו נגד אוניברסיטאות וגופים ממשלתיים ברחבי צפון אמריקה ואסיה בין נובמבר לדצמבר 2024.
אחד המאפיינים הבולטים ביותר של Auto-Color הוא יכולתו להסתיר את התנהגותו הזדונית כאשר אינו יכול להגיע לשרת הפיקוד והבקרה (C2) שלו. תכונה זו מרמזת על רמה גבוהה של אבטחה תפעולית וכוונה להימנע מגילוי במהלך תגובה לאירועים או ניתוח ארגז חול.
יכולות מפתח של צביעה אוטומטית
Auto-Color מציעה חבילה מקיפה של תכונות זדוניות שנועדו לספק שליטה עמוקה על מערכות שנפגעו. אלה כוללים:
- יכולות מעטפת הפוכה
- יצירה וביצוע קבצים
- תצורת פרוקסי של המערכת
- שינוי מטען גלובלי
- פרופיל מערכת
- מחיקה עצמית באמצעות מתג כיבוי
תכונות אלו מאפשרות לתוקפים לא רק לשמור על גישה מתמשכת, אלא גם להסתגל באופן דינמי ולמחוק ראיות בעת הצורך.
ציר זמן של ההתקפה: חדירה מחושבת
מומחי אבטחה זיהו את הפריצה ב-28 באפריל, כאשר קובץ בינארי חשוד מסוג ELF זוהה בשרת הפונה לאינטרנט, שככל הנראה מריץ את SAP NetWeaver. עם זאת, הסימנים הראשוניים של סיור וסריקה החלו, על פי הדיווחים, לפחות שלושה ימים קודם לכן, דבר המצביע על תכנון קפדני.
התוקפים השתמשו ב-CVE-2025-31324 כדי להעביר מטען בשלב השני, קובץ בינארי של ELF שהתברר כדלת אחורית של Auto-Color. לאחר פריסתה, הנוזקה הפגינה הבנה מעמיקה של מערכות לינוקס וביצעה פעולות בדיוק מדוד, תוך צמצום טביעת הרגל שלה כדי למנוע גילוי מוקדם.
קריאת השכמה לאבטחת ארגונים
תקרית זו מדגישה את החשיבות של תיקונים בזמן וניטור מתמשך של תשתיות קריטיות. תוכנות זדוניות מתוחכמות כמו Auto-Color, בשילוב עם פגיעויות בפלטפורמות ארגוניות כמו SAP NetWeaver, מהוות סיכון משמעותי לארגונים בכל המגזרים. צוותי IT חייבים לתעדף את ניהול הפגיעויות ולהיות מוכנים לזהות ולהגיב לאיומים חשאיים ומתמשכים.
