Xctdoor Stražnja vrata

Poslužitelj ažuriranja južnokorejskog dobavljača ERP-a (Enterprise Resource Planning) otkriven je kompromitiran, distribuirajući backdoor temeljen na Go-u pod nazivom Xctdoor. Istraživači su otkrili ovaj napad u svibnju 2024., i iako nisu točno odredili konkretnog aktera prijetnje ili grupu, uočili su sličnosti s taktikama koje koristi Andariel , podskupina povezana s zloglasnom Lazarus Group .

Ove taktike odjek su prošlih incidenata koji uključuju sjevernokorejskog protivnika, koji je prethodno iskorištavao ERP rješenje za širenje zlonamjernog softvera kao što je HotCroissant (također poznat kao Rifdoor ) 2017. To je postignuto ugradnjom zlonamjernog koda u mehanizam za ažuriranje softvera.

Xctdoor Backdoor pruža napadačima brojne štetne mogućnosti

Tijekom analize napada utvrđeno je da je izvršna datoteka promijenjena tako da pokreće DLL datoteku s određene staze pomoću procesa regsvr32.exe umjesto pokretanja programa za preuzimanje. Ova DLL datoteka, poznata kao Xctdoor, posjeduje mogućnosti za hvatanje informacija o sustavu kao što su pritisci tipki, snimke zaslona i sadržaj međuspremnika, te izvršavanje naredbi koje je izdao napadač.

Xctdoor komunicira s Command-and-Control (C2) poslužiteljem preko HTTP-a, uz enkripciju paketa koristeći Mersenne Twister (MT19937) i Base64 algoritme. Napad također uključuje drugu varijantu zlonamjernog softvera nazvanu XcLoader, dizajniranu da ubaci Xctdoor u legitimne procese poput 'explorer.exe'. Nedavna otkrića ukazuju na slučajeve u kojima su neadekvatno osigurani web poslužitelji bili ugroženi kako bi instalirali XcLoader najmanje od ožujka 2024.

Isti postupak zloupotrebljavaju druge prijetnje zlonamjernim softverom

Proces regsvr32.exe iskorišten je u drugim kampanjama povezanim sa Sjevernom Korejom, posebice od strane grupe Kimsuky APT. Iskoristili su neobjavljena stražnja vrata pod nazivom HappyDoor, koja rade najmanje od srpnja 2021.

Ove sekvence napada obično započinju e-porukama spear-phishing koje distribuiraju komprimiranu datoteku. Unutar ove arhive nalazi se maskirani JavaScript ili dropper koji, nakon izvršenja, pokreće HappyDoor uz datoteku mamac. HappyDoor, implementiran kao DLL datoteka putem regsvr32.exe, uspostavlja komunikaciju s udaljenim poslužiteljem putem HTTP-a. Njegove funkcionalnosti uključuju krađu podataka, mogućnosti preuzimanja/učitavanja datoteka i mogućnost samoažuriranja i prekidanja procesa.

Infekcije izazvane na vrata mogu imati teške posljedice za žrtve

Žrtve backdoor infekcija zlonamjernim softverom mogu se suočiti s ozbiljnim posljedicama zbog tajne i uporne prirode ovih prijetnji. Evo nekih mogućih utjecaja:

• Krađa podataka : stražnja vrata često dopuštaju napadačima da prikupe privatne podatke kao što su vjerodajnice za prijavu, financijski podaci, intelektualno vlasništvo i osobne datoteke. Ovi prikupljeni podaci mogu se iskoristiti za financijsku dobit ili koristiti u daljnjim napadima.
• Nadzor i nadziranje : Backdoors mogu omogućiti napadačima da prate i nadziru aktivnosti žrtve, uključujući pritiske tipki, snimke zaslona, feedove web kamere i unos mikrofona. Ovo zadiranje u privatnost može dovesti do osobne ili korporativne špijunaže.
• Neovlašteni pristup : Napadači mogu dobiti produženi neovlašteni pristup ugroženim sustavima. Ovaj se pristup može koristiti za manipulaciju ili sabotiranje sustava, ometanje operacija ili čak postavljanje dodatnog zlonamjernog softvera.
• Kompromitacija sustava : stražnja vrata često oslabljuju opću sigurnosnu poziciju sustava, čineći ga ranjivim na daljnje iskorištavanje. To može dovesti do ugrožavanja drugih povezanih sustava ili resursa unutar mreže.
• Financijski gubitak : poduzeća mogu pretrpjeti financijske gubitke zbog krađe sredstava, gubitka poslovnih prilika, pravnih obveza i troškova povezanih s naporima za sanaciju i oporavak.
• Oštećenje reputacije : Za organizacije backdoor infekcija može dovesti do štete po reputaciju, gubitka povjerenja kupaca i smanjene vrijednosti robne marke. To može imati dugoročne posljedice na poslovne odnose i poslovanje.
• Operativni prekid : Backdoors može poremetiti normalne operacije uzrokujući padove sustava, usporavanja ili uvjete uskraćivanja usluge. To može dovesti do zastoja, gubitka produktivnosti i financijskih učinaka zbog prekida usluga.
• Regulatorna pitanja i pitanja usklađenosti : Organizacije se mogu suočiti s regulatornim kaznama i pravnim posljedicama ako kompromitirani sustavi rukuju osjetljivim podacima koji podliježu zakonima o privatnosti ili industrijskim propisima.
• Poteškoće u otkrivanju i uklanjanju : Backdoori su dizajnirani da izbjegnu otkrivanje sigurnosnim mjerama kao što su anti-malware softver i firewall. Njihovo otkrivanje i potpuno uklanjanje može biti izazovno, zahtijeva specijalizirano znanje i alate.
• Dugoročna ranjivost : Čak i nakon početnog ispravljanja, kompromitirani sustavi mogu ostati ranjivi na buduće napade ili uporne pokušaje ponovnog aktiviranja stražnjih vrata od strane odlučnih napadača.

Sve u svemu, posljedice backdoor infekcija zlonamjernim softverom mogu biti teške i višestruke, utječući na pojedince i organizacije u smislu financijske, operativne i reputacijske štete, kao i ugrožavajući njihovu privatnost i sigurnost.