דלת אחורית RustDoor

דלת אחורית של macOS שהתגלתה לאחרונה, מקודדת ב-Rust, נקשרה לקבוצות תוכנות כופר ידועות Black Basta ו-Alphv/BlackCat. בשם RustDoor, התוכנה הזדונית מתחזה ל-Visual Studio שתומך בארכיטקטורות אינטל ו-Arm, והיא מסתובבת מאז נובמבר 2023, ומצליחה להתחמק מזיהוי במשך חודשים מרובים.

חוקרים זיהו גרסאות שונות של RustDoor, כולן חולקות את אותה פונקציונליות של דלת אחורית עם הבדלים קלים. גרסאות אלה תומכות כולן במגוון פקודות לקצירת קבצים וסילוק, כמו גם איסוף מידע על המכשיר הנגוע. הנתונים שנאספו מועברים לאחר מכן לשרת Command-and-Control (C&C), שם נוצר מזהה קורבן ומשמש בתקשורת הבאה.

הדלת האחורית של RustDoor פיתחה את היכולות הלא בטוחות שלה

נראה שהגרסה הראשונית של ה-RustDoor Backdoor, שזוהתה בנובמבר 2023, תפקדה כגרסת מבחן. הוא חסר מנגנון התמדה מקיף והציג קובץ plist 'מבחן'.

הגרסה השנייה, שלדעתו הופיעה חודש לאחר מכן, הייתה בעלת קבצים גדולים יותר וכללה תצורת JSON מתוחכמת וסקריפט של אפל שנועד להוצאת מסמכים ספציפיים מתיקיות המסמכים ושולחן העבודה והערות של המשתמש.

עם התבססות על מערכות שנפגעו, התוכנה הזדונית מעתיקה מסמכים ונתונים ממוקדים לתיקיה סמויה, דוחסת אותם לארכיון ZIP ולאחר מכן משדרת אותם לשרת Command-and-Control (C&C). תצורות מסוימות מציינות הוראות לאיסוף נתונים, כגון גודל ומספר מרבי של קבצים, רשימות של הרחבות וספריות ממוקדות, או ספריות להחרגה. חוקרים מצאו גם שקובץ התצורה של RustDoor מאפשר התחזות ליישומים שונים, עם אפשרויות להתאים אישית תיבת דו-שיח של סיסמת מנהל מזויפת.

תצורת ה-JSON מתייחסת לארבעה מנגנוני התמדה, תוך שימוש ב-cronjobs, LaunchAgents (כתוצאה מכך לביצוע בעת הכניסה), שינוי קובץ כדי להבטיח ביצוע עם פתיחת הפעלה חדשה של ZSH והוספת הקובץ הבינארי לרציף.

גרסה שלישית של דלת אחורית התגלתה, ונראה שהיא המקורית. חסרה המורכבות, הסקריפט של Apple והתצורה המשובצת הקיימים בגרסאות RustDoor אחרות.

התוכנה הזדונית משתמשת בשלושה שרתי C&C המקושרים בעבר לקמפיינים של Black Basta ו-Alphv/BlackCat Ransomware. BlackCat, תוכנת הכופר הראשונה להצפנת קבצים בשפת התכנות Rust, הופיעה ב-2021 ופורקה בדצמבר 2023.

להתקפות תוכנה זדונית בדלת אחורית עשויות להיות השלכות חמורות על הקורבנות

הנוכחות של תוכנות זדוניות בדלת אחורית במכשירים של המשתמשים מהווה סכנות משמעותיות ומגוונות, שכן היא מעניקה גישה לא מורשית לגורמים זדוניים. להלן כמה סכנות פוטנציאליות הקשורות לכך שמכשירי המשתמשים נגועים בתוכנה זדונית בדלת האחורית:

• גישה ושליטה בלתי מורשית : דלתות אחוריות מספקות נקודת כניסה סודית לתוקפים, המאפשרת להם לקבל גישה בלתי מורשית למכשיר הנגוע. כשהם נכנסים, הם יכולים להשתלט על פונקציות שונות, לתפעל קבצים ולבצע פקודות ללא ידיעת המשתמש או הסכמתו.
• גניבת נתונים וסילוק נתונים : דלתות אחוריות מאפשרות לעתים קרובות גניבה וסינון של נתונים רגישים המאוחסנים במכשיר שנפגע. תוקפים יכולים לגשת למידע אישי, נתונים פיננסיים, אישורי כניסה ונתונים סודיים אחרים, מה שמוביל לגניבת זהות אפשרית, אובדן כספי או הפרת פרטיות.
• ריגול ומעקב : תוכנה זדונית בדלת אחורית מקושרת בדרך כלל לפעילויות ריגול. תוקפים יכולים להשתמש בדלת האחורית כדי לרגל אחר משתמשים, לנטר את הפעילויות שלהם, לצלם צילומי מסך, להקליט הקשות, ואפילו לגשת למצלמות אינטרנט או למיקרופונים, מה שפוגע בפרטיות המשתמשים.
• פריסת תוכנות כופר : דלתות אחוריות משמשות לעתים כשער לפריסת תוכנות כופר. ברגע שתוקפים מקבלים גישה דרך דלת אחורית, הם עלולים להצפין את הקבצים של המשתמש ולדרוש כופר עבור שחרורם, ולגרום להפרעה משמעותית ולהפסד כספי.
• מניפולציה ושיבוש מערכת : דלתות אחוריות יכולות לאפשר לתוקפים לתפעל את הגדרות המערכת, לשבש פעולות רגילות, או אפילו להשבית אמצעי אבטחה. זה יכול בסופו של דבר להוביל לאי יציבות מערכת ולקריסות ולהפוך את המשתמשים למאתגר להשתמש במכשירים שלהם ביעילות.
• התפשטות והתפשטות רשת : לדלתות אחוריות מסוימות יש יכולות שכפול עצמי, המאפשרות להן להתפשט על פני רשתות ולהדביק מכשירים אחרים. זה יכול לגרום להתפשרות של רשתות שלמות, להשפיע על מספר משתמשים וארגונים.
• אבטחת רשת בסיכון : ניתן להשתמש בדלתות אחוריות כדי לעקוף את אמצעי אבטחת הרשת, מה שמקל על התוקפים לחדור לרשתות ארגוניות רחבות יותר. זה יכול להוביל לפרצות אבטחה נוספות ולסכן את שלמותו של מידע תאגידי או ממשלתי רגיש.

כדי לצמצם את הסיכונים הללו, חיוני למשתמשים להפעיל אמצעי אבטחת סייבר חזקים, כולל עדכוני תוכנה רגילים, שימוש בתוכנות אנטי-וירוס מכובדות, ותרגול התנהגויות מקוונות בטוחות כדי למנוע נפילות קורבן להתקפות תוכנה זדוניות בדלת אחורית. בנוסף, ארגונים צריכים ליישם פרוטוקולי אבטחת רשת חזקים כדי לזהות ולטפל באיומים פוטנציאליים באופן מיידי.