RustDoor stražnja vrata

Novootkriveni backdoor za macOS, kodiran u Rustu, povezan je s poznatim grupama ransomwarea Black Basta i Alphv/BlackCat. Nazvan RustDoor, zlonamjerni softver predstavlja se kao Visual Studio koji podržava i Intel i Arm arhitekturu i kruži od studenog 2023., uspijevajući izbjeći otkrivanje nekoliko mjeseci.

Istraživači su identificirali različite verzije RustDoor-a, a sve dijele istu backdoor funkcionalnost s manjim razlikama. Sve te varijante podržavaju niz naredbi za prikupljanje datoteka i eksfiltraciju, kao i prikupljanje informacija o zaraženom uređaju. Prikupljeni podaci se zatim prenose na Command-and-Control (C&C) server, gdje se generira ID žrtve i koristi u kasnijim komunikacijama.

RustDoor Backdoor je razvijao svoje nesigurne mogućnosti

Čini se da je početna verzija RustDoor Backdoora, otkrivena u studenom 2023., funkcionirala kao testno izdanje. Nedostajao mu je sveobuhvatni mehanizam postojanosti i sadržavala je 'testnu' plist datoteku.

Druga varijanta, za koju se vjeruje da se pojavila mjesec dana kasnije, imala je veće datoteke i uključivala je sofisticiranu JSON konfiguraciju i Apple skriptu dizajniranu za izvlačenje određenih dokumenata iz mapa Documents i Desktop te korisničkih bilješki.

Nakon što se uspostavi na kompromitiranim sustavima, zlonamjerni softver kopira ciljane dokumente i podatke u skrivenu mapu, sažima ih u ZIP arhivu i zatim ih prenosi na Command-and-Control (C&C) poslužitelj. Neke konfiguracije određuju upute za prikupljanje podataka, poput maksimalne veličine i broja datoteka, popisa ciljanih ekstenzija i direktorija ili direktorija za izuzimanje. Istraživači su također otkrili da RustDoorova konfiguracijska datoteka dopušta lažno predstavljanje različitih aplikacija, s opcijama za prilagodbu dijaloškog okvira lažne administratorske lozinke.

Konfiguracija JSON referira na četiri mehanizma postojanosti, koristeći cronjobs, LaunchAgents (što rezultira izvršenjem pri prijavi), modificiranje datoteke kako bi se osiguralo izvršenje nakon otvaranja nove ZSH sesije i dodavanje binarne datoteke na dock.

Otkrivena je i treća varijanta stražnjih vrata, a čini se da je ona originalna. Nedostaje mu složenost, Apple skripta i ugrađena konfiguracija prisutna u drugim varijantama RustDoor-a.

Zlonamjerni softver koristi tri C&C poslužitelja prethodno povezana s kampanjama Black Basta i Alphv/BlackCat Ransomware. BlackCat, prvi ransomware za šifriranje datoteka u programskom jeziku Rust, pojavio se 2021. i rastavljen je u prosincu 2023.

Backdoor napadi zlonamjernim softverom mogu imati ozbiljne posljedice za žrtve

Prisutnost backdoor zlonamjernog softvera na uređajima korisnika predstavlja značajne i raznolike opasnosti, budući da zlonamjernim akterima omogućuje neovlašteni pristup. Evo nekih mogućih opasnosti povezanih s zarazom korisničkih uređaja zlonamjernim softverom za backdoor:

• Neovlašteni pristup i kontrola : stražnja vrata pružaju tajnu ulaznu točku za napadače, omogućujući im neovlašten pristup zaraženom uređaju. Kad uđu unutra, mogu preuzeti kontrolu nad raznim funkcijama, manipulirati datotekama i izvršavati naredbe bez znanja ili pristanka korisnika.
• Krađa i eksfiltracija podataka : stražnja vrata često omogućuju krađu i eksfiltraciju osjetljivih podataka pohranjenih na kompromitiranom uređaju. Napadači mogu pristupiti osobnim podacima, financijskim podacima, vjerodajnicama za prijavu i drugim povjerljivim podacima, što dovodi do potencijalne krađe identiteta, financijskog gubitka ili povrede privatnosti.
• Špijunaža i nadzor : Backdoor zlonamjerni softver obično se povezuje s aktivnostima špijunaže. Napadači mogu koristiti backdoor kako bi špijunirali korisnike, nadzirali njihove aktivnosti, snimili snimke zaslona, snimili pritiske na tipke, pa čak i pristupili web kamerama ili mikrofonima, ugrožavajući privatnost korisnika.
• Uvođenje ransomwarea : Backdoors se ponekad koriste kao pristupnik za uvođenje ransomwarea. Nakon što napadači dobiju pristup kroz stražnja vrata, mogu šifrirati korisničke datoteke i zahtijevati otkupninu za njihovo oslobađanje, uzrokujući značajan poremećaj i financijski gubitak.
• Manipulacija i ometanje sustava : stražnja vrata mogu omogućiti napadačima da manipuliraju postavkama sustava, ometaju normalne operacije ili čak onemoguće sigurnosne mjere. To na kraju može dovesti do nestabilnosti sustava i padova, a korisnicima predstavlja izazov za učinkovito korištenje svojih uređaja.
• Propagacija i širenje mrežom : Neki backdoori imaju sposobnost samorepliciranja, što im omogućuje širenje mrežama i zarazu drugih uređaja. To može dovesti do ugrožavanja čitavih mreža, što utječe na više korisnika i organizacija.
• Ugrožena mrežna sigurnost : stražnja vrata mogu se koristiti za zaobilaženje mrežnih sigurnosnih mjera, olakšavajući napadačima infiltraciju u šire organizacijske mreže. To može dovesti do dodatnih kršenja sigurnosti i ugroziti integritet osjetljivih korporativnih ili državnih informacija.

Kako bi ublažili ove rizike, ključno je da korisnici primjenjuju snažne mjere kibernetičke sigurnosti, uključujući redovita ažuriranja softvera, upotrebu renomiranih antivirusnih programa i prakticiranje sigurnog ponašanja na mreži kako ne bi postali žrtve backdoor napada zlonamjernog softvera. Osim toga, organizacije bi trebale implementirati snažne mrežne sigurnosne protokole za brzo otkrivanje i rješavanje potencijalnih prijetnji.