Xctdoor Achterdeur

Er werd ontdekt dat de updateserver van een Zuid-Koreaanse ERP-leverancier (Enterprise Resource Planning) gecompromitteerd was en een op Go gebaseerde achterdeur verspreidde met de naam Xctdoor. Onderzoekers ontdekten deze aanval in mei 2024, en hoewel ze geen specifieke dreigingsactoren of -groep konden identificeren, merkten ze overeenkomsten op met de tactieken die werden gebruikt door Andariel , een subgroep die verbonden is met de beruchte Lazarus-groep .

Deze tactieken weerspiegelen eerdere incidenten waarbij de Noord-Koreaanse tegenstander betrokken was, die in 2017 eerder de ERP-oplossing exploiteerde om malware zoals HotCroissant (ook bekend als Rifdoor ) te verspreiden. Dit werd bereikt door kwaadaardige code in een software-updatemechanisme te implanteren.

De Xctdoor-backdoor biedt aanvallers talloze schadelijke mogelijkheden

Tijdens de aanvalsanalyse werd vastgesteld dat het uitvoerbare bestand was gewijzigd om een DLL-bestand vanaf een specifiek pad uit te voeren met behulp van het regsvr32.exe-proces in plaats van een downloader te starten. Dit DLL-bestand, bekend als Xctdoor, beschikt over mogelijkheden voor het vastleggen van systeeminformatie zoals toetsaanslagen, schermafbeeldingen en klembordinhoud, en het uitvoeren van opdrachten van de aanvaller.

Xctdoor communiceert met een Command-and-Control (C2)-server via HTTP, met pakketversleuteling die gebruik maakt van de Mersenne Twister (MT19937) en Base64-algoritmen. Bij de aanval is ook een andere malwarevariant betrokken, genaamd XcLoader, ontworpen om Xctdoor te injecteren in legitieme processen zoals 'explorer.exe'. Recente bevindingen duiden op gevallen waarin onvoldoende beveiligde webservers sinds maart 2024 zijn gecompromitteerd om XcLoader te installeren.

Hetzelfde proces wordt misbruikt door andere malwarebedreigingen

Het regsvr32.exe-proces is uitgebuit in andere campagnes die verband houden met Noord-Korea, met name door de Kimsuky APT-groep. Ze hebben gebruik gemaakt van een geheime achterdeur genaamd HappyDoor, die in ieder geval sinds juli 2021 operationeel is.

Deze aanvalsreeksen beginnen doorgaans met spearphishing-e-mails waarin een gecomprimeerd bestand wordt verspreid. In dit archief wordt een versluierd JavaScript of dropper gevonden, die, na uitvoering, HappyDoor samen met een lokbestand start. HappyDoor, geïmplementeerd als een DLL-bestand via regsvr32.exe, brengt communicatie met een externe server tot stand via HTTP. De functionaliteiten omvatten gegevensdiefstal, mogelijkheden voor het downloaden/uploaden van bestanden en de mogelijkheid om processen zelf bij te werken en te beëindigen.

Achterdeurinfecties kunnen ernstige gevolgen hebben voor slachtoffers

Slachtoffers van backdoor-malware-infecties kunnen met ernstige gevolgen te maken krijgen vanwege de heimelijke en aanhoudende aard van deze bedreigingen. Hier volgen enkele mogelijke gevolgen:

• Gegevensdiefstal : Via achterdeurtjes kunnen aanvallers vaak privé-informatie verzamelen, zoals inloggegevens, financiële gegevens, intellectueel eigendom en persoonlijke bestanden. Deze verzamelde gegevens kunnen worden misbruikt voor financieel gewin of worden gebruikt bij verdere aanvallen.
• Bewaking en monitoring : Backdoors kunnen aanvallers in staat stellen de activiteiten van het slachtoffer te monitoren en te bewaken, inclusief toetsaanslagen, schermafbeeldingen, webcamfeeds en microfooninvoer. Deze inbreuk op de privacy kan leiden tot persoonlijke of bedrijfsspionage.
• Ongeautoriseerde toegang : Aanvallers kunnen langdurig ongeautoriseerde toegang krijgen tot gecompromitteerde systemen. Deze toegang kan worden gebruikt om systemen te manipuleren of te saboteren, operaties te verstoren of zelfs extra malware in te zetten.
• Systeemcompromis : Backdoors verzwakken vaak de algehele beveiligingspositie van het systeem, waardoor het kwetsbaar wordt voor verdere exploitatie. Dit kan leiden tot het compromitteren van andere verbonden systemen of bronnen binnen het netwerk.
• Financieel verlies : Bedrijven kunnen financiële verliezen lijden als gevolg van diefstal van geld, verlies van zakelijke kansen, juridische aansprakelijkheden en kosten die verband houden met herstel- en herstelinspanningen.
• Reputatieschade : Voor organisaties kan een achterdeurinfectie leiden tot reputatieschade, verlies van klantvertrouwen en verminderde merkwaarde. Dit kan op de lange termijn gevolgen hebben voor zakelijke relaties en activiteiten.
• Operationele verstoring : Backdoors kunnen de normale werking verstoren door systeemcrashes, vertragingen of denial-of-service-omstandigheden te veroorzaken. Dit kan resulteren in downtime, productiviteitsverlies en financiële gevolgen als gevolg van verstoorde services.
• Kwesties op het gebied van regelgeving en compliance : Organisaties kunnen te maken krijgen met boetes en juridische gevolgen als de gecompromitteerde systemen gevoelige gegevens verwerken die onderhevig zijn aan privacywetten of brancheregelgeving.
• Moeilijkheden bij detectie en verwijdering : Backdoors zijn ontworpen om detectie door beveiligingsmaatregelen zoals antimalwaresoftware en firewalls te omzeilen. Het kan een uitdaging zijn om ze volledig op te sporen en te verwijderen, waarvoor gespecialiseerde kennis en hulpmiddelen nodig zijn.
• Kwetsbaarheid op de lange termijn : Zelfs na een aanvankelijk herstel kunnen gecompromitteerde systemen kwetsbaar blijven voor toekomstige aanvallen of aanhoudende pogingen tot reactivering van de achterdeur door vastberaden aanvallers.

Over het geheel genomen kunnen de gevolgen van backdoor-malware-infecties ernstig en veelzijdig zijn, waardoor zowel individuen als organisaties worden getroffen in termen van financiële, operationele en reputatieschade, en hun privacy en veiligheid in gevaar worden gebracht.