GoGra Backdoor

2023 m. lapkritį Pietų Azijos žiniasklaidos organizacija buvo nukreipta į naujai atrastą „Go“ pagrindu sukurtą užpakalines duris, žinomą kaip „GoGra“. Ši kenkėjiška programa, parašyta „Go“ programavimo kalba, naudoja „Microsoft Graph“ API, kad galėtų susisiekti su „Command-and-Control“ (C&C) serveriu, esančiu „Microsoft“ pašto paslaugose. Kol kas „GoGra“ pristatymo į tikslines aplinkas būdas lieka nežinomas. Pažymėtina, kad „GoGra“ skirta skaityti pranešimus iš „Outlook“ paskyros naudotojo vardu „FNU LNU“, ypač tuos, kurių temos eilutės prasideda „Įvestis“.

„GoGra“ dalijasi panašumais su anksčiau neatskleista kenkėjiška programa

Pranešimo turinys iššifruojamas naudojant AES-256 algoritmą šifravimo blokų grandinės (CBC) režimu, naudojant tam tikrą raktą. Po iššifravimo komandos vykdomos per cmd.exe. Tada rezultatai užšifruojami ir siunčiami atgal tam pačiam vartotojui su tema „Išvestis“. Manoma, kad „GoGra“ sukūrė nacionalinės įsilaužimo grupė, žinoma kaip „Harvester“ dėl panašumų su tinkintu .NET implantu „Graphon“ , kuris taip pat naudoja „Graph API“ komandų ir valdymo (C&C) funkcijoms.

Grėsmės veikėjai vis dažniau naudojasi teisėtomis debesų paslaugomis

Grėsmės subjektai vis dažniau naudojasi teisėtomis debesijos paslaugomis, kad liktų diskretiški ir išvengtų išlaidų, susijusių su tam skirta infrastruktūra.

Ryškūs šios tendencijos pavyzdžiai:

• Firefly : naujas duomenų išfiltravimo įrankis, naudojamas kibernetinėje atakoje prieš karinę organizaciją Pietryčių Azijoje. Surinkti duomenys įkeliami į „Google“ diską naudojant užkoduotą atnaujinimo prieigos raktą.
• Grageris : 2024 m. balandžio mėn. buvo aptiktos naujos užpakalinės durys, skirtos organizacijoms Taivane, Honkonge ir Vietname. Jis palaiko ryšį su komandų ir valdymo (C&C) serveriu, esančiu Microsoft OneDrive per Graph API. Ši veikla preliminariai siejama su įtariamu Kinijos grėsmės veikėju, žinomu kaip UNC5330.
• MoonTag : užpakalinės durys su funkcionalumu sąveikauti su Graph API, priskirtu kiniškai kalbančiam grėsmės veikėjui.
• Onedrivetools : užpakalinės durys, naudojamos prieš IT paslaugų įmones JAV ir Europoje. Ji naudoja Graph API, kad galėtų bendrauti su C&C serveriu OneDrive, vykdydama komandas ir išsaugodama išvestį toje pačioje platformoje.

Nors debesijos paslaugų naudojimas komandoms ir valdymui nėra nauja technika, pastaruoju metu užpuolikai vis dažniau taiko jį.

Užpakalinių durų infekcijų pavojai

Užpakalinių durų kenkėjiška programa kelia didelį pavojų paveiktoms organizacijoms ar vartotojams, įskaitant:

• Neteisėta prieiga : Užpakalinės durys suteikia užpuolikams paslėptą prieigą prie sistemų, leidžiančių apeiti įprastus autentifikavimo mechanizmus. Dėl šios neteisėtos prieigos gali būti pažeisti jautrūs duomenys ir svarbios sistemos.
• Duomenų vagystė : užpuolikai gali naudoti užpakalines duris, kad išfiltruotų konfidencialią informaciją, įskaitant asmens duomenis, intelektinę nuosavybę ir finansinius įrašus. Šie surinkti duomenys gali būti naudojami tapatybės vagystei, įmonių šnipinėjimui arba parduodami tamsiajame internete.
• Sistemos valdymas ir manipuliavimas : įdiegus galines duris, užpuolikai gali valdyti paveiktas sistemas. Šis valdiklis leidžia vykdyti komandas, įdiegti papildomą kenkėjišką programą, keisti sistemos konfigūracijas arba manipuliuoti duomenimis.
• Tinklo kompromisas : užpakalinės durys dažnai palengvina judėjimą tinkle į šoną. Užpuolikai gali naudoti pradinį kompromisą, kad pereitų į šonus per prijungtas sistemas, galintys paveikti visus tinklus ir padidinti atakos mastą.
• Operacijų sutrikimas : „Backdoor“ kenkėjiška programa gali sutrikdyti įprastas verslo operacijas, sukeldama sistemos gedimus, ištrindama ar užšifruodama svarbius failus arba sukeldama našumo problemų. Tai gali sukelti veiklos prastovų ir finansinių nuostolių.
• Šnipinėjimas ir stebėjimas : užpakalinės durys gali būti naudojamos šnipinėjimui, leidžiančios užpuolikams stebėti ir įrašyti vartotojų veiklą, ryšius ir sąveiką. Toks stebėjimas gali pakenkti privatumui ir sukelti neskelbtinos informacijos nutekėjimą.
• Žala reputacijai : užpakalinių durų kenkėjiškų programų buvimas gali pakenkti geram organizacijos vardui, dėl to prarandamas klientų pasitikėjimas ir pasitikėjimas. Tai gali turėti ilgalaikį poveikį verslo santykiams ir pozicijai rinkoje.
• Reguliavimo ir teisinės pasekmės : organizacijos gali susidurti su teisinėmis ir reguliavimo pasekmėmis, jei jos negali apsaugoti neskelbtinų duomenų. Duomenų pažeidimai, susiję su užpakalinių durų kenkėjiška programa, gali užtraukti baudas, teisinius veiksmus ir atitikties problemas.

Apibendrinant galima pasakyti, kad užpakalinių durų kenkėjiška programinė įranga kelia daugialypę grėsmę, galinčią pakenkti saugumui, privatumui ir veiklos vientisumui, todėl organizacijoms ir vartotojams būtina taikyti patikimas saugos priemones ir išlikti budriems nuo galimų įsibrovimų.