Giddome hátsó ajtó
A Giddome Backdoor fenyegetés a Shuckworm, Gamaredon és Armageddon néven nyomon követett kiberbûnözõ szervezet ártalmas arzenáljának alapeleme. A rosszindulatú programokat az ukrajnai célpontok ellen vetik be, a viselkedés összhangban van a hackercsoport korábbi tevékenységeivel.
A támadás során az áldozatok eszközeihez kezdeti hozzáférést ért el adathalász üzeneteken keresztül, amelyek egy önkicsomagoló 7-zip archív fájlt szállítottak, amely XML-fájlt hozott le a Shuckwormhoz társított aldomainről. Alternatív megoldásként a fenyegetés szereplői VBS letöltőket használtak a fenyegető rakományok lekérésére. A Giddome Backdoor mellett a kiberbűnözők a Pterodo backdoor fenyegetés változatait, valamint a PowerShell információlopó több változatát is bevetették. A fenyegetésekkel és a támadási művelettel kapcsolatos részleteket a kártevőkutatók jelentésében hozták nyilvánosságra.
Miután aktiválták az áldozat eszközén, a Giddome utasítható, hogy vegye át az irányítást a mikrofon felett, és készítsen hangfelvételeket. A létrehozott fájlokat ezután a támadók által ellenőrzött távoli helyre töltik fel. A fenyegetés képes tetszőleges képernyőképek készítésére és feltöltésére is. Az érzékeny információk megszerzéséhez a Giddome billentyűnaplózási rutinokat hozhat létre az eszközön, rögzítve az áldozatok bemeneteit. Ezenkívül a hátsó ajtó használható .exe és .dll fájlok lekérésére, és ezek végrehajtására/betöltésére a feltört eszközökön, így a támadók további hasznos terheket szállíthatnak.
A Shuckworm kiberbűnözői csoportról úgy vélik, hogy szorosan kapcsolódik Oroszországhoz, ha nem az ország Szövetségi Biztonsági Erőjének (FSB) tagja. A Shuckwormnak tulajdonított tevékenységek egészen 2014-ig nyúlnak vissza, és a támadási műveletek következetesen kulcsfontosságú ukrán állami és magánszervezetek ellen irányultak. Az ukrajnai orosz invázió óta a hackerek még aktívabbá váltak az adathalász támadások elindítása és az új kártevőtörzsek és -változatok telepítése terén.
