Turian Backdoor
De Turian Backdoor is een nieuwe, op maat gemaakte bedreiging, gebruikt bij aanvallen door een voorheen onbekende hackersgroep. Deze nieuwe bedreigingsacteur die is gevestigd in de cybergangscene, wordt BackdoorDiplamacy genoemd en wordt verondersteld actief te zijn sinds ten minste 2017. De opzet en infrastructuur van de bedreigende operaties van de groep wijzen erop dat het een door de staat gesponsorde APT (Advanced Persistent Threat) is. De sterk gelokaliseerde reeks slachtoffers ondersteunt ook dit vermoeden.
Tot nu toe heeft BackdoorDiplomacy aanvallen uitgevoerd op overheidsinstellingen zoals de ministeries van Buitenlandse Zaken van meerdere Afrikaanse landen, evenals in Europa, het Midden-Oosten en Azië. De groep heeft ook inbreuk gemaakt op verschillende telecombedrijven die actief zijn in Afrika en op ten minste één liefdadigheidsorganisatie uit het Midden-Oosten.
Wat de Turian Backdoor betreft, het is slechts een van de vele bedreigende instrumenten waaruit de malwarekit van BackdoorDiplomacy bestaat. Uit een eerste analyse blijkt dat de dreiging is ontwikkeld op basis van de Quarian-backdoor, een malwaretool die werd ingezet tegen diplomatieke doelen in een reeks aanvallen in 2013. De Turian Backdoor is ook essentieel voor het exfiltreren van alle informatie die uit de gecompromitteerde systemen is overgeheveld. Het belangrijkste doel van de BackdoorDiplomacy-hackers is immers het verzamelen van gegevens van hun doelwitten. Als zodanig is de belangrijkste payload die aan de geïnfecteerde slachtoffers wordt geleverd in staat om systeemgegevens te verzamelen en te uploaden, willekeurige schermafbeeldingen te maken en het bestandssysteem te manipuleren (verplaatsen, verwijderen, maken en verzamelen van bestanden).
Informatie die is opgeslagen op verwisselbare media, zoals flashdrives, wordt ook bedreigd. De bestanden die daar zijn opgeslagen, worden gekopieerd en samengevoegd tot een met een wachtwoord beveiligd archief dat vervolgens door de Turian Backdoor wordt geüpload naar de Command-and-Control-server.
