GoGra Backdoor

2023. gada novembrī Dienvidāzijas plašsaziņas līdzekļu organizācija tika mērķēta, izmantojot jaunatklātu Go-bāzētu aizmugures durvis, kas pazīstama kā GoGra. Šī ļaunprātīgā programmatūra, kas rakstīta Go programmēšanas valodā, izmanto Microsoft Graph API, lai sazinātos ar Command-and-Control (C&C) serveri, kas tiek mitināts Microsoft pasta pakalpojumos. Līdz šim GoGra piegādes metode mērķa vidēm joprojām nav zināma. Proti, GoGra ir paredzēts, lai lasītu ziņojumus no Outlook konta ar lietotājvārdu "FNU LNU", īpaši tos, kuru tēmas rindas sākas ar "Ievade".

GoGra ir līdzības ar iepriekš atklātu ļaunprātīgu programmatūru

Ziņojuma saturs tiek atšifrēts, izmantojot AES-256 algoritmu šifrēšanas bloku ķēdes (CBC) režīmā, izmantojot īpašu atslēgu. Pēc atšifrēšanas komandas tiek izpildītas, izmantojot cmd.exe. Pēc tam rezultāti tiek šifrēti un nosūtīti atpakaļ tam pašam lietotājam ar tēmu “Izvade”. Tiek uzskatīts, ka GoGra ir izstrādājusi nacionālās hakeru grupa, kas pazīstama kā Harvester , jo tā ir līdzīga pielāgotam .NET implantam ar nosaukumu Graphon , kas arī izmanto Graph API Command-and-Control (C&C) funkcijām.

Draudu dalībnieki arvien vairāk izmanto likumīgos mākoņpakalpojumus

Apdraudējumi arvien vairāk izmanto likumīgus mākoņpakalpojumus, lai saglabātu diskrētu darbību un izvairītos no izmaksām, kas saistītas ar īpašu infrastruktūru.

Spilgti šīs tendences piemēri ir:

• Firefly : jauns datu eksfiltrācijas rīks, ko izmanto kiberuzbrukumā pret militāru organizāciju Dienvidaustrumāzijā. Iegūtie dati tiek augšupielādēti Google diskā, izmantojot kodētu atsvaidzināšanas pilnvaru.
• Gragers : 2024. gada aprīlī tika atklātas jaunas aizmugures durvis, kuru mērķauditorija ir organizācijas Taivānā, Honkongā un Vjetnamā. Tas sazinās ar Command-and-Control (C&C) serveri, kas tiek mitināts pakalpojumā Microsoft OneDrive, izmantojot Graph API. Šī darbība ir provizoriski saistīta ar aizdomās turēto Ķīnas draudu dalībnieku, kas pazīstams kā UNC5330.
• MoonTag : aizmugures durvis ar funkcionalitāti mijiedarbībai ar Graph API, kas piedēvēta ķīniešu valodā runājošam draudu dalībniekam.
• Onedrivetools : aizmugures durvis, ko izmanto pret IT pakalpojumu uzņēmumiem ASV un Eiropā. Tas izmanto Graph API, lai sazinātos ar C&C serveri OneDrive, izpildot komandas un saglabājot izvadi tajā pašā platformā.

Lai gan mākoņpakalpojumu izmantošana komandēšanai un kontrolei nav jauna tehnika, pēdējā laikā tā tiek izmantota uzbrucēju vidū.

Aizmugures durvju infekciju briesmas

Aizmugurējo durvju ļaunprātīga programmatūra rada ievērojamas briesmas ietekmētajām organizācijām vai lietotājiem, tostarp:

• Neatļauta piekļuve : Aizmugures durvis nodrošina uzbrucējiem slēptu piekļuvi sistēmām, ļaujot viņiem apiet parastos autentifikācijas mehānismus. Šī nesankcionētā piekļuve var izraisīt sensitīvu datu un kritisko sistēmu apdraudējumu.
• Datu zādzība : uzbrucēji var izmantot aizmugures durvis, lai izfiltrētu konfidenciālu informāciju, tostarp personas datus, intelektuālo īpašumu un finanšu ierakstus. Šos savāktos datus var izmantot identitātes zādzībām, korporatīvai spiegošanai vai pārdot tumšajā tīmeklī.
• Sistēmas vadība un manipulācijas : kad ir uzstādītas aizmugures durvis, uzbrucēji var iegūt kontroli pār ietekmētajām sistēmām. Šī vadīkla ļauj izpildīt komandas, instalēt papildu ļaunprātīgu programmatūru, mainīt sistēmas konfigurācijas vai manipulēt ar datiem.
• Tīkla kompromiss : aizmugurējās durvis bieži atvieglo sānu kustību tīklā. Uzbrucēji var izmantot sākotnējo kompromisu, lai pārvietotos uz sāniem starp savienotajām sistēmām, potenciāli ietekmējot veselus tīklus un palielinot uzbrukuma apjomu.
• Darbību pārtraukšana : Aizmugurējo durvju ļaunprātīga programmatūra var traucēt normālu biznesa darbību, izraisot sistēmas kļūmes, dzēšot vai šifrējot kritiskos failus vai radot veiktspējas problēmas. Tas var izraisīt darbības dīkstāves un finansiālus zaudējumus.
• Spiegošana un novērošana : aizmugures durvis var izmantot spiegošanai, ļaujot uzbrucējiem pārraudzīt un reģistrēt lietotāju darbības, saziņu un mijiedarbību. Šāda uzraudzība var apdraudēt privātumu un izraisīt sensitīvas informācijas noplūdi.
• Reputācijas kaitējums : aizmugures ļaunprātīgas programmatūras klātbūtne var sabojāt organizācijas labo vārdu, izraisot klientu uzticības zaudēšanu. Tam var būt ilgtermiņa ietekme uz biznesa attiecībām un stāvokli tirgū.
• Normatīvās un juridiskās sekas : organizācijām var rasties juridiskas un reglamentējošas sekas, ja tās nevar aizsargāt sensitīvus datus. Datu pārkāpumi, kas saistīti ar aizmugures ļaunprātīgu programmatūru, var izraisīt naudas sodus, juridiskas darbības un atbilstības problēmas.

Rezumējot, aizmugures ļaunprātīga programmatūra rada daudzpusīgus draudus, kas var apdraudēt drošību, privātumu un darbības integritāti, tādēļ organizācijām un lietotājiem ir svarīgi izmantot stingrus drošības pasākumus un saglabāt modrību pret iespējamiem ielaušanās gadījumiem.