Zadné vrátka GoGra pre Linux

Útočník známy ako Harvester bol spojený s novo identifikovanou linuxovou variantou svojho zadného vrátka GoGra, čo signalizuje pokračujúce rozširovanie jeho kybernetických špionážnych operácií. Predpokladá sa, že tieto útoky sú primárne zamerané na subjekty v južnej Ázii, pričom forenzné dôkazy poukazujú na aktivity pochádzajúce z Indie a Afganistanu. To naznačuje cielenú kampaň zhromažďovania spravodajských informácií zameranú na organizácie v týchto regiónoch.

Nenápadné útoky prostredníctvom dôveryhodných kanálov: Zneužívanie cloudovej infraštruktúry

Charakteristickým znakom tejto kampane je zneužívanie legitímnych cloudových služieb na skrytú komunikáciu. Malvér využíva rozhranie Microsoft Graph API spolu s poštovými schránkami Outlooku ako skrytý kanál Command-and-Control (C2). Vložením škodlivej komunikácie do dôveryhodných platforiem útočníci efektívne obchádzajú tradičné obvodové obranné mechanizmy, čo výrazne sťažuje ich detekciu.

Od Graphonu po GoGru: Vývoj aktéra hrozby

Skupina Harvester sa prvýkrát dostala do povedomia verejnosti koncom roka 2021, keď bola spájaná s kampaňou zameranou na krádež informácií zameranou na telekomunikačný, vládny a IT sektor v južnej Ázii. Počas tejto fázy skupina nasadila vlastný implantát známy ako Graphon, ktorý tiež využíval rozhranie Microsoft Graph API pre komunikáciu C2.

V auguste 2024 ďalšia aktivita spojila skupinu s operáciou proti mediálnej organizácii v regióne. Táto operácia predstavila GoGra , predtým nevidený backdoor založený na Go. Nedávne zistenia potvrdzujú, že Harvester rozšíril túto schopnosť aj mimo prostredia Windows a teraz nasadzuje variant tej istej rodiny malvéru špecifický pre Linux.

Klamlivý vstup: Sociálne inžinierstvo a taktiky vykonávania

Počiatočná infekcia sa vo veľkej miere spolieha na techniky sociálneho inžinierstva. Obete sú manipulované tak, aby otvorili binárne súbory ELF maskované ako dokumenty PDF. Po spustení dropper zobrazí návnadový dokument, aby sa zachovala ilúzia legitímnosti, a zároveň sa v pozadí potichu spustí zadné vrátka.

Pracovný postup velenia a riadenia: Presnosť a vytrvalosť

Linuxová varianta GoGra kopíruje svoju Windowsovú verziu z hľadiska komunikačnej logiky a operačného postupu. Interaguje s určeným priečinkom poštovej schránky Outlooku s označením „Zomato Pizza“ a každé dve sekundy ho oslovuje prostredníctvom dotazov Open Data Protocol (OData). Malvér monitoruje prichádzajúce správy a spracováva iba tie, ktoré spĺňajú určité kritériá:

• E-maily s predmetom začínajúcim na „Vstup“ sú identifikované ako pokyny na zadanie úlohy.
• Telo správy je dekódované v Base64 a vykonané ako príkazy shellu cez /bin/bash

• Výsledky vykonávania sa odosielajú prostredníctvom e-mailových odpovedí s predmetom „Výstup“.

• Pôvodné e-maily s úlohami sa po ich vykonaní vymažú, aby sa eliminovali forenzné stopy.

Konzistentné vývojové odtlačky naprieč platformami

Napriek rozdielom v operačných systémoch a metódach nasadenia zostáva základná architektúra C2 medzi verziami pre Windows a Linux konzistentná. Výskumníci tiež v oboch variantoch pozorovali identické pravopisné chyby v kóde, čo silne naznačuje spoločného vývojára alebo vývojový tím stojaci za nástrojmi.

Strategické dôsledky: Rozšírenie útočnej plochy

Zavedenie zadných vrátok založených na Linuxe zdôrazňuje pokračujúce úsilie spoločnosti Harvester o diverzifikáciu svojich možností a zvýšenie prevádzkovej flexibility. Zameraním sa na viacero operačných systémov a využívaním dôveryhodných cloudových služieb sa skupina stavia do pozície, ktorá jej umožňuje kompromitovať širšiu škálu prostredí a zároveň si zachovať nízky profil detekcie.

Tento vývoj podčiarkuje rastúcu sofistikovanosť moderných aktérov hrozieb a potrebu adaptívnej, na správaní založenej kybernetickej obrany.