GoGra Backdoor

Novembra 2023 je bila tarča južnoazijske medijske organizacije z uporabo na novo odkritih stranskih vrat, ki temeljijo na Go, znanih kot GoGra. Ta zlonamerna programska oprema, napisana v programskem jeziku Go, uporablja Microsoft Graph API za komunikacijo s strežnikom za ukazovanje in nadzor (C&C), ki gostuje v Microsoftovih poštnih storitvah. Zaenkrat način dostave GoGre v ciljna okolja ostaja neznan. Predvsem je GoGra zasnovana za branje sporočil iz Outlookovega računa z uporabniškim imenom 'FNU LNU', zlasti tistih z zadevo, ki se začne z 'Input'.

GoGra ima podobnosti s prej odkrito zlonamerno programsko opremo

Vsebina sporočila se dešifrira z uporabo algoritma AES-256 v načinu Cipher Block Chaining (CBC) z uporabo določenega ključa. Po dešifriranju se ukazi izvajajo prek cmd.exe. Rezultati so nato šifrirani in poslani nazaj istemu uporabniku z zadevo 'Izhod'. Verjame se, da je GoGra razvila državna hekerska skupina, znana kot Harvester , zaradi podobnosti s prilagojenim vsadkom .NET, imenovanim Graphon , ki prav tako uporablja Graph API za funkcije ukazovanja in nadzora (C&C).

Akterji groženj vse pogosteje izkoriščajo zakonite storitve v oblaku

Akterji groženj vedno bolj izkoriščajo zakonite storitve v oblaku, da ostanejo diskretni in se izognejo stroškom, povezanim z namensko infrastrukturo.

Vidni primeri tega trenda vključujejo:

• Firefly : novo orodje za izločanje podatkov, uporabljeno v kibernetskem napadu na vojaško organizacijo v jugovzhodni Aziji. Zbrani podatki se naložijo v Google Drive s pomočjo trdo kodiranega žetona za osvežitev.
• Grager : aprila 2024 so odkrili nova stranska vrata, ki ciljajo na organizacije v Tajvanu, Hong Kongu in Vietnamu. Komunicira s strežnikom za ukazovanje in nadzor (C&C), ki gostuje v Microsoft OneDrive prek API-ja Graph. Ta dejavnost je pogojno povezana z domnevnim kitajskim akterjem grožnje, znanim kot UNC5330.
• MoonTag : zadnja vrata s funkcionalnostjo za interakcijo z API-jem Graph, pripisana kitajsko govorečemu akterju grožnje.
• Onedrivetools : stranska vrata, ki se uporabljajo proti podjetjem za storitve IT v ZDA in Evropi. Uporablja Graph API za komunikacijo s strežnikom C&C na OneDrive, izvajanje ukazov in shranjevanje izhodnih podatkov na isto platformo.

Medtem ko uporaba storitev v oblaku za poveljevanje in nadzor ni nova tehnika, se njeno sprejemanje med napadalci v zadnjem času povečuje.

Nevarnosti okužb zakulisnih vrat

Zlonamerna programska oprema za stranska vrata predstavlja veliko nevarnost za prizadete organizacije ali uporabnike, vključno z:

• Nepooblaščen dostop : Zakulisna vrata napadalcem omogočajo skriti dostop do sistemov, kar jim omogoča, da obidejo običajne mehanizme za preverjanje pristnosti. Ta nepooblaščen dostop lahko povzroči ogrožanje občutljivih podatkov in kritičnih sistemov.
• Kraja podatkov : Napadalci lahko uporabijo stranska vrata za izločanje zaupnih informacij, vključno z osebnimi podatki, intelektualno lastnino in finančnimi evidencami. Te zbrane podatke je mogoče uporabiti za krajo identitete, korporativno vohunjenje ali prodajo na temnem spletu.
• Nadzor in manipulacija sistema : Ko so stranska vrata nameščena, lahko napadalci pridobijo nadzor nad prizadetimi sistemi. Ta nadzor jim omogoča izvajanje ukazov, namestitev dodatne zlonamerne programske opreme, spreminjanje sistemskih konfiguracij ali manipulacijo podatkov.
• Omrežni kompromis : Zadnja vrata pogosto olajšajo stransko gibanje znotraj omrežja. Napadalci lahko uporabijo začetni kompromis za bočno premikanje po povezanih sistemih, kar lahko vpliva na celotna omrežja in poveča obseg njihovega napada.
• Motnje delovanja : zlonamerna programska oprema za zakulisna vrata lahko prekine normalno poslovanje, tako da povzroči okvare sistema, izbriše ali šifrira kritične datoteke ali povzroči težave z delovanjem. To lahko povzroči izpade delovanja in finančne izgube.
• Vohunjenje in nadzor : Zakulisna vrata se lahko uporabljajo za vohunjenje, kar napadalcem omogoča spremljanje in snemanje uporabniških dejavnosti, komunikacije in interakcij. Ta nadzor lahko ogrozi zasebnost in povzroči uhajanje občutljivih informacij.
• Škoda za ugled : Prisotnost zlonamerne programske opreme za zakulisna vrata lahko škoduje dobremu imenu organizacije, kar povzroči izgubo zaupanja strank. To lahko dolgoročno vpliva na poslovne odnose in položaj na trgu.
• Regulativne in pravne posledice : Organizacije se lahko soočijo s pravnimi in regulativnimi posledicami, če ne morejo zaščititi občutljivih podatkov. Kršitve podatkov, ki vključujejo zakulisno zlonamerno programsko opremo, lahko povzročijo globe, pravne postopke in težave s skladnostjo.

Če povzamemo, zlonamerna programska oprema za zakulisna vrata predstavlja večplastno grožnjo, ki lahko ogrozi varnost, zasebnost in celovitost delovanja, zaradi česar je za organizacije in uporabnike nujno, da uporabljajo robustne varnostne ukrepe in ostanejo pozorni na morebitne vdore.