КТЛВдоор Бацкдоор

Група за претње која говори кинески, позната као Еартх Лусца, откривена је како поставља нови бацкдоор под називом КТЛВдоор у сајбер нападу на непознату трговачку компанију у Кини. Овај новооткривени малвер, развијен у Голангу, дизајниран је да буде вишеплатформски, циљајући и Мицрософт Виндовс и Линук системе.

КТЛВдоор има велику замагљеност и маскира се у разне системске услужне програме. Ово омогућава нападачима да изврше низ злонамерних активности, укључујући манипулацију датотекама, извршавање команди и удаљено скенирање портова.

Лажно представљање као легитимни алати

КТЛВдоор се маскира као неколико алата, укључујући ссхд, Јава, СКЛите, басх и едр-агент, између осталих. Малвер се дистрибуира или као библиотека са динамичким везама (.длл) или као заједнички објекат (.со).

Значајан аспект ове активности је идентификација преко 50 сервера за команду и контролу (Ц&Ц), који сви хостује кинеска компанија Алибаба. Ови сервери су повезани са различитим варијантама злонамерног софтвера, што указује на потенцијал за заједничку инфраструктуру са другим кинеским актерима претњи.

Актери претњи су активни већ неколико година

Еартх Лусца је активна најмање од 2021. године, изводећи сајбер нападе на мете и јавних и приватних институција широм Азије, Аустралије, Европе и Северне Америке. Верује се да група има неке тактичке сличности са другим сетовима за упадање познатим као РедХотел и АПТ27 (који се такође називају Будворм, Емиссари Панда и Ирон Тигер).

Најновији малвер групе, КТЛВдоор, веома је замагљен. Свој назив добија од маркера означеног са 'КТЛВ' који се налази у његовој конфигурационој датотеци, који укључује различите параметре неопходне за његове операције, као што су сервери за команду и контролу (Ц&Ц) са којима се повезује.

Много непознаница и даље остаје

Једном активиран, малвер више пута контактира сервер за команду и контролу (Ц&Ц), чекајући даља упутства за извршење на компромитованом систему. Подржава различите команде, укључујући преузимање и отпремање датотека, набрајање система датотека, покретање интерактивне љуске, покретање схелл кода и спровођење скенирања помоћу алата као што су СцанТЦП, СцанРДП, ДиалТЛС, СцанПинг и СцанВеб, између осталих.

Међутим, детаљи о томе како се малвер дистрибуира и да ли је коришћен против других циљева широм света остају нејасни.

Иако Еартх Лусца користи овај нови алат, постоји могућност да га користе и други актери претњи који говоре кинески. Чињеница да су сви Ц&Ц сервери били хостовани на ИП адресама Алибабе, кинеског провајдера, навела је истраживаче да спекулишу да би малвер и његова Ц&Ц инфраструктура могли бити део ране фазе тестирања нових алата.

Претње из скривених врата излажу жртве тешким последицама

Позадински злонамерни софтвер представља озбиљну опасност јер нападачима пружа неовлашћени, прикривени приступ компромитованим системима, заобилазећи нормалне мере безбедности. Неке од најзначајнијих претњи повезаних са малвером у позадини укључују:

• Трајна контрола : Бацкдоорс омогућавају нападачима да задрже дуготрајан приступ систему, често неоткривен. Овај упоран приступ омогућава нападачима да континуирано надгледају систем и манипулишу њиме током времена, што отежава уклањање претње.
• Крађа података : Нападачи могу прикупити осетљиве информације као што су финансијски подаци, интелектуална својина, акредитиви за пријаву и поверљива комуникација. Ови прикупљени подаци могу се продати, користити за превару или довести до даљих напада, укључујући крађу идентитета или шпијунажу.
• Експлоатација мреже : Једном унутра, бацкдоор малвер се може ширити бочно преко мреже, инфицирајући друге уређаје и проширујући обим напада. Ово може довести до потпуног компромитовања мреже, омогућавајући нападачима да контролишу више система истовремено.
• Испорука другог злонамерног софтвера : Бацкдоорс се могу користити као механизам за испоруку додатног злонамерног софтвера, као што је рансомваре, шпијунски софтвер или кеилоггери, који могу да изазову даљу штету и поремећаје.
• Манипулација и саботажа система : Нападачи могу да изврше команде на зараженом систему, мењајући конфигурације, бришу или оштећују датотеке, онемогућавају безбедносне алате и ометају критичне услуге. У случајевима индустријских или државних система, ово може довести до озбиљне оперативне или инфраструктурне штете.
• Даљинско надгледање и контрола : Бацкдоор злонамерни софтвер омогућава нападачима да тихо надгледају активности, бележе притиске на тастере, праве снимке екрана и бележе понашање корисника. Овај ниво надзора може угрозити безбедносне политике и омогућити нападачу да искористи рањивости без откривања.
• Ескалација привилегија : Нападачи често користе бацкдоор да ескалирају своје привилегије на систему, дајући им потпуну административну контролу. Ово им омогућава да заобиђу безбедносне протоколе, што чини готово немогућим да легитимни корисници или безбедносни тимови поврате контролу.

Укратко, позадински малвер је озбиљна претња јер нападачима даје дугорочан, скривени приступ системима, омогућавајући им да украду податке, шире малвер, манипулишу операцијама и компромитују читаве мреже, док га је тешко открити и искоренити.