GoGra Backdoor

U studenom 2023. južnoazijska medijska organizacija bila je meta napada pomoću novootkrivenog backdoor-a koji se temelji na Gou, poznatog kao GoGra. Ovaj zlonamjerni softver, napisan u programskom jeziku Go, koristi Microsoft Graph API za komunikaciju s Command-and-Control (C&C) poslužiteljem koji se nalazi na Microsoftovim uslugama pošte. Do sada, način dostave GoGre u ciljna okruženja ostaje nepoznat. Naime, GoGra je dizajnirana za čitanje poruka s Outlook računa s korisničkim imenom 'FNU LNU', posebno onih s predmetom koji počinje s 'Input'.

GoGra ima sličnosti s prethodno otkrivenim zlonamjernim softverom

Sadržaj poruke dešifrira se pomoću algoritma AES-256 u načinu rada Cipher Block Chaining (CBC) pomoću određenog ključa. Nakon dešifriranja, naredbe se izvršavaju putem cmd.exe. Rezultati se zatim šifriraju i šalju natrag istom korisniku s predmetom 'Output'. Vjeruje se da je GoGru razvila državna hakerska skupina poznata kao Harvester , zbog sličnosti s prilagođenim .NET implantatom nazvanim Graphon , koji također koristi Graph API za funkcije upravljanja i upravljanja (C&C).

Akteri prijetnji sve više iskorištavaju legitimne usluge u oblaku

Akteri prijetnji sve više iskorištavaju legitimne usluge u oblaku kako bi ostali diskretni i izbjegli troškove povezane s namjenskom infrastrukturom.

Istaknuti primjeri ovog trenda uključuju:

• Firefly : novi alat za eksfiltraciju podataka korišten u cyber napadu na vojnu organizaciju u jugoistočnoj Aziji. Prikupljeni podaci učitavaju se na Google disk pomoću tvrdo kodiranog tokena za osvježavanje.
• Grager : Nova stražnja vrata otkrivena su u travnju 2024., ciljajući na organizacije u Tajvanu, Hong Kongu i Vijetnamu. Komunicira s Command-and-Control (C&C) poslužiteljem smještenim na Microsoft OneDrive putem Graph API-ja. Ova je aktivnost uvjetno povezana s kineskim akterom prijetnje poznatim kao UNC5330.
• MoonTag : Backdoor s funkcionalnošću za interakciju s Graph API-jem koji se pripisuje akteru prijetnje koji govori kineski.
• Onedrivetools : Backdoor koji se koristi protiv tvrtki za IT usluge u SAD-u i Europi. Koristi Graph API za komunikaciju s C&C poslužiteljem na OneDriveu, izvršavajući naredbe i spremajući izlaz na istu platformu.

Iako korištenje usluga u oblaku za upravljanje i kontrolu nije nova tehnika, njezino prihvaćanje među napadačima u posljednje vrijeme raste.

Opasnosti od backdoor infekcija

Backdoor zlonamjerni softver predstavlja značajnu opasnost za pogođene organizacije ili korisnike, uključujući:

• Neovlašteni pristup : stražnja vrata napadačima omogućuju skriveni pristup sustavima, omogućujući im da zaobiđu normalne mehanizme provjere autentičnosti. Ovaj neovlašteni pristup može dovesti do ugrožavanja osjetljivih podataka i kritičnih sustava.
• Krađa podataka : Napadači mogu koristiti stražnja vrata za eksfiltraciju povjerljivih informacija, uključujući osobne podatke, intelektualno vlasništvo i financijske evidencije. Ovi prikupljeni podaci mogu se koristiti za krađu identiteta, korporativnu špijunažu ili prodati na mračnom webu.
• Kontrola i manipulacija sustava : Nakon što se instaliraju stražnja vrata, napadači mogu preuzeti kontrolu nad pogođenim sustavima. Ova im kontrola omogućuje izvršavanje naredbi, instaliranje dodatnog zlonamjernog softvera, promjenu konfiguracije sustava ili manipuliranje podacima.
• Mrežni kompromis : stražnja vrata često olakšavaju bočno kretanje unutar mreže. Napadači mogu koristiti početni kompromis za bočno kretanje preko povezanih sustava, potencijalno utječući na cijele mreže i povećavajući opseg napada.
• Prekid rada : Backdoor zlonamjerni softver može poremetiti normalne poslovne operacije uzrokujući kvarove sustava, brisanjem ili šifriranjem kritičnih datoteka ili dovodeći do problema s performansama. To može dovesti do zastoja u radu i financijskih gubitaka.
• Špijunaža i nadzor : stražnja vrata se mogu koristiti za špijunažu, omogućujući napadačima praćenje i snimanje korisničkih aktivnosti, komunikacije i interakcija. Ovaj nadzor može ugroziti privatnost i dovesti do curenja osjetljivih informacija.
• Šteta reputaciji : Prisutnost backdoor zlonamjernog softvera može naštetiti dobrom imenu organizacije, što dovodi do gubitka povjerenja kupaca. To može imati dugoročne učinke na poslovne odnose i tržišnu poziciju.
• Regulatorne i pravne posljedice : Organizacije se mogu suočiti s pravnim i regulatornim posljedicama ako ne mogu zaštititi osjetljive podatke. Povrede podataka koje uključuju backdoor malware mogu dovesti do novčanih kazni, pravnih postupaka i problema s usklađenošću.

Ukratko, backdoor zlonamjerni softver predstavlja višestruku prijetnju koja može ugroziti sigurnost, privatnost i operativni integritet, zbog čega je za organizacije i korisnike neophodno primijeniti snažne sigurnosne mjere i ostati na oprezu protiv potencijalnih upada.