Pintu Belakang GoGra Linux

Aktor ancaman yang dikenali sebagai Harvester telah dikaitkan dengan varian Linux yang baru dikenal pasti bagi pintu belakang GoGra, menandakan pengembangan berterusan operasi pengintipan sibernya. Serangan ini dipercayai menyasarkan entiti di seluruh Asia Selatan, dengan bukti forensik menunjukkan aktiviti yang berasal dari India dan Afghanistan. Ini menunjukkan kempen pengumpulan risikan yang tertumpu yang ditujukan kepada organisasi di rantau ini.

Penyembunyian Melalui Saluran Dipercayai: Penyalahgunaan Infrastruktur Awan

Ciri khas kempen ini ialah penyalahgunaan perkhidmatan awan yang sah untuk komunikasi rahsia. Perisian hasad ini memanfaatkan Microsoft Graph API bersama peti mel Outlook sebagai saluran Perintah dan Kawalan (C2) tersembunyi. Dengan menyematkan komunikasi berniat jahat dalam platform yang dipercayai, penyerang berkesan memintas pertahanan perimeter tradisional, menjadikan pengesanan jauh lebih mencabar.

Dari Graphon ke GoGra: Evolusi Pelakon Ancaman

Harvester pertama kali mendapat perhatian umum pada akhir tahun 2021, apabila ia dikaitkan dengan kempen mencuri maklumat yang menyasarkan sektor telekomunikasi, kerajaan dan IT di Asia Selatan. Semasa fasa itu, kumpulan itu menggunakan implan tersuai yang dikenali sebagai Graphon, yang turut menggunakan Microsoft Graph API untuk komunikasi C2.

Pada Ogos 2024, aktiviti selanjutnya mengaitkan kumpulan itu dengan operasi terhadap sebuah organisasi media di rantau ini. Operasi ini memperkenalkan GoGra , pintu belakang berasaskan Go yang sebelum ini tidak kelihatan. Penemuan terbaru mengesahkan bahawa Harvester telah memperluas keupayaan ini melangkaui persekitaran Windows, kini menggunakan varian khusus Linux daripada keluarga perisian hasad yang sama.

Kemasukan Menipu: Kejuruteraan Sosial dan Taktik Pelaksanaan

Jangkitan awal banyak bergantung pada teknik kejuruteraan sosial. Mangsa dimanipulasi untuk membuka binari ELF yang menyamar sebagai dokumen PDF. Setelah dilaksanakan, dropper memaparkan dokumen umpan untuk mengekalkan ilusi kesahihan sambil menggunakan pintu belakang secara senyap di latar belakang.

Aliran Kerja Perintah dan Kawalan: Ketepatan dan Kegigihan

Varian Linux GoGra mencerminkan rakan sejawatnya di Windows dari segi logik komunikasi dan aliran operasi. Ia berinteraksi dengan folder peti mel Outlook yang ditetapkan berlabel 'Zomato Pizza', meninjaunya setiap dua saat melalui pertanyaan Protokol Data Terbuka (OData). Perisian hasad ini memantau mesej masuk dan hanya memproses mesej yang memenuhi kriteria tertentu:

• E-mel dengan baris subjek yang bermula dengan 'Input' dikenal pasti sebagai arahan tugasan
• Badan mesej dinyahkod Base64 dan dilaksanakan sebagai arahan shell melalui /bin/bash

• Keputusan pelaksanaan dikeluarkan melalui respons e-mel dengan subjek 'Output'

• E-mel tugasan asal dipadamkan selepas pelaksanaan untuk menghapuskan kesan forensik

Cap Jari Pembangunan Konsisten Merentasi Platform

Walaupun terdapat perbezaan dalam sistem pengendalian dan kaedah penggunaan, seni bina C2 yang mendasari kekal konsisten antara versi Windows dan Linux. Penyelidik juga telah memerhatikan kesalahan ejaan berkod keras yang sama dalam kedua-dua varian, yang menunjukkan dengan jelas bahawa terdapat pembangun atau pasukan pembangunan yang dikongsi di sebalik alatan tersebut.

Implikasi Strategik: Memperluas Permukaan Serangan

Pengenalan pintu belakang berasaskan Linux mengetengahkan usaha berterusan Harvester untuk mempelbagaikan keupayaannya dan meningkatkan fleksibiliti operasi. Dengan menyasarkan pelbagai sistem pengendalian dan memanfaatkan perkhidmatan awan yang dipercayai, kumpulan itu meletakkan dirinya untuk berkompromi dengan pelbagai persekitaran sambil mengekalkan profil pengesanan yang rendah.

Evolusi ini menggariskan kecanggihan pelaku ancaman moden yang semakin meningkat dan keperluan untuk pertahanan keselamatan siber berasaskan tingkah laku yang adaptif.