Backdoor GoGra Linux

O grupo de ameaças conhecido como Harvester foi associado a uma variante Linux recém-identificada de seu backdoor GoGra, sinalizando uma expansão contínua de suas operações de ciberespionagem. Acredita-se que esses ataques visem principalmente entidades no sul da Ásia, com evidências forenses apontando para atividades originárias da Índia e do Afeganistão. Isso sugere uma campanha de coleta de informações direcionada a organizações nessas regiões.

Furtividade por meio de canais confiáveis: abuso da infraestrutura em nuvem

Uma característica definidora desta campanha é o abuso de serviços legítimos em nuvem para comunicação secreta. O malware utiliza a API do Microsoft Graph juntamente com caixas de correio do Outlook como um canal oculto de Comando e Controle (C2). Ao incorporar comunicações maliciosas em plataformas confiáveis, os atacantes conseguem contornar as defesas perimetrais tradicionais, tornando a detecção significativamente mais difícil.

De Graphon a GoGra: A evolução de um agente de ameaça

O grupo Harvester chamou a atenção do público pela primeira vez no final de 2021, quando foi associado a uma campanha de roubo de informações direcionada aos setores de telecomunicações, governo e TI no sul da Ásia. Durante essa fase, o grupo implantou um sistema personalizado conhecido como Graphon, que também utilizava a API Microsoft Graph para comunicação com o servidor de comando e controle (C2).

Em agosto de 2024, novas atividades ligaram o grupo a uma operação contra uma organização de mídia na região. Essa operação introduziu o GoGra , um backdoor baseado em Go até então desconhecido. Descobertas recentes confirmam que o Harvester expandiu essa capacidade para além dos ambientes Windows, implantando agora uma variante específica para Linux da mesma família de malware.

Entrada Enganosa: Engenharia Social e Táticas de Execução

A infecção inicial depende fortemente de técnicas de engenharia social. As vítimas são manipuladas para abrir arquivos binários ELF disfarçados de documentos PDF. Uma vez executados, o programa exibe um documento falso para manter a ilusão de legitimidade enquanto instala silenciosamente o backdoor em segundo plano.

Fluxo de trabalho de comando e controle: precisão e persistência

A variante Linux do GoGra espelha sua contraparte para Windows em termos de lógica de comunicação e fluxo operacional. Ela interage com uma pasta de caixa de correio do Outlook designada, rotulada como 'Zomato Pizza', consultando-a a cada dois segundos por meio de consultas do protocolo OData (Open Data Protocol). O malware monitora as mensagens recebidas e processa apenas aquelas que atendem a critérios específicos:

• E-mails com assuntos que começam com 'Input' são identificados como instruções de tarefas.
• O corpo da mensagem é decodificado em Base64 e executado como comandos do shell através de /bin/bash.

• Os resultados da execução são exfiltrados por meio de respostas de e-mail com o assunto 'Output'.

• Os e-mails originais com as tarefas são apagados após a execução para eliminar vestígios forenses.

Padrões de desenvolvimento consistentes em todas as plataformas

Apesar das diferenças nos sistemas operacionais e métodos de implantação, a arquitetura C2 subjacente permanece consistente entre as versões para Windows e Linux. Os pesquisadores também observaram erros ortográficos idênticos codificados em ambas as variantes, o que indica fortemente um desenvolvedor ou equipe de desenvolvimento em comum por trás das ferramentas.

Implicações estratégicas: Ampliando a superfície de ataque

A introdução de um backdoor baseado em Linux destaca os esforços contínuos do Harvester para diversificar suas capacidades e aumentar a flexibilidade operacional. Ao visar múltiplos sistemas operacionais e aproveitar serviços de nuvem confiáveis, o grupo se posiciona para comprometer uma gama mais ampla de ambientes, mantendo um baixo nível de detecção.

Essa evolução ressalta a crescente sofisticação dos agentes de ameaças modernos e a necessidade de defesas de cibersegurança adaptáveis e baseadas em comportamento.