GoRed مستتر

تعرضت المنظمات الروسية لهجوم من قبل مجموعة جرائم إلكترونية تعرف باسم ExCobalt، والتي تستخدم بابًا خلفيًا تم اكتشافه حديثًا ومقره في Golang يسمى GoRed.

تتخصص ExCobalt في التجسس الإلكتروني وتضم العديد من الأعضاء الذين نشطوا منذ عام 2016 على الأقل، ومن المحتمل أن يكونوا من عصابة Cobalt Gang سيئة السمعة. اشتهرت عصابة Cobalt Gang باستهداف المؤسسات المالية للحصول على الأموال، وكانت CobInt إحدى أدوات التوقيع الخاصة بها. اعتمدت ExCobalt استخدام CobInt في عام 2022.

العديد من الأدوات الضارة التي يتم استغلالها في الهجمات ضد الأهداف

خلال العام الماضي، استهدف ممثل التهديد قطاعات مختلفة في روسيا، بما في ذلك الحكومة وتكنولوجيا المعلومات والمعادن والتعدين وتطوير البرمجيات والاتصالات.

يحصل المهاجمون على إمكانية الوصول الأولي إلى البيئات من خلال استغلال مقاول تم اختراقه سابقًا وإجراء هجوم على سلسلة التوريد، حيث يصيبون مكونًا يستخدم لبناء البرنامج الشرعي للشركة المستهدفة، مما يشير إلى مستوى عالٍ من التطور.

تتضمن طريقة عملهم استخدام العديد من الأدوات، مثل Metasploit و Mimikatz وProcDump وSMBExec و Spark RAT لتنفيذ الأوامر على المضيفين المصابين، بالإضافة إلى عمليات استغلال تصعيد امتيازات Linux (CVE-2019-13272، CVE-2021-3156، CVE -2021-4034، وCVE-2022-2586).

يوفر GoRed Backdoor العديد من الإجراءات التدخلية لممثلي التهديد

يعد GoRed، الذي تطور من خلال العديد من التكرارات منذ بدايته، بابًا خلفيًا متعدد الاستخدامات يمكّن المشغلين من تنفيذ الأوامر والحصول على بيانات الاعتماد وجمع التفاصيل حول العمليات النشطة وواجهات الشبكة وأنظمة الملفات. ويستخدم بروتوكول استدعاء الإجراء عن بعد (RPC) للتواصل مع خادم القيادة والتحكم (C2) الخاص به.

بالإضافة إلى ذلك، يدعم GoRed أوامر الخلفية المختلفة لمراقبة الملفات ذات الأهمية وكلمات المرور، بالإضافة إلى تمكين الصدفة العكسية. يتم بعد ذلك تصدير البيانات المجمعة إلى البنية التحتية التي يسيطر عليها المهاجم.

تواصل ExCobalt إظهار مستوى عالٍ من النشاط والتصميم في استهداف الشركات الروسية، وتضيف باستمرار أدوات جديدة إلى ترسانتها وتعمل على تحسين تقنياتها. علاوة على ذلك، تُظهر ExCobalt المرونة والقدرة على التكيف من خلال دمج الأدوات المساعدة القياسية المعدلة في مجموعة أدواتها، مما يسمح للمجموعة بتجاوز الضوابط الأمنية بسهولة والتكيف مع التغييرات في أساليب الحماية.

يمكن أن تؤدي إصابات البرامج الضارة في الباب الخلفي إلى عواقب وخيمة

يمكن أن تؤدي الإصابة ببرامج ضارة مستترة إلى عواقب وخيمة على ضحاياها، مما يؤدي إلى:

• الوصول غير المصرح به : تسمح الأبواب الخلفية للمهاجمين بالحصول على وصول غير مصرح به إلى النظام أو الشبكة المصابة. يمكن أن ينتهي الأمر بسرقة المعلومات الشخصية التي قد تتضمن بيانات شخصية أو سجلات مالية أو ملكية فكرية أو معلومات حكومية سرية.
• سرقة البيانات والتجسس : يمكن للمهاجمين استخراج البيانات من النظام المخترق، مما يؤدي إلى اختراقات محتملة للبيانات. يمكن بيع هذه المعلومات المجمعة على شبكة الإنترنت المظلمة، أو استخدامها لسرقة الهوية أو استغلالها لتحقيق ميزة تنافسية من قبل المنظمات المنافسة.
• المراقبة المستمرة : غالبًا ما تتيح الأبواب الخلفية المراقبة المستمرة من خلال السماح للمهاجمين بمراقبة نشاط المستخدم والتقاط ضغطات المفاتيح وتسجيل كلمات المرور ومراقبة حركة مرور الشبكة. يمكن أن تؤدي هذه المراقبة إلى تعريض سرية وخصوصية الأفراد والمنظمات للخطر.
• التلاعب بالنظام : قد يتلاعب المهاجمون بالنظام المخترق لأغراض ضارة، مثل شن المزيد من الهجمات (على سبيل المثال، توزيع البريد العشوائي أو شن هجمات DDoS)، أو تغيير البيانات أو حذفها أو تعطيل الخدمات الحيوية.
• الإضرار بالسمعة والثقة : يمكن أن يؤدي الانتهاك الناجم عن البرامج الضارة للأبواب الخلفية إلى الإضرار بسمعة المؤسسة وتقويض ثقة العملاء. قد تواجه المنظمات تداعيات قانونية وتنظيمية، خاصة إذا لم تقم بحماية البيانات الحساسة بشكل كافٍ.
• الخسائر المالية : يمكن أن تؤدي جهود الإصلاح، بما في ذلك التحقيقات الجنائية وإصلاحات النظام والرسوم القانونية المحتملة، إلى خسائر مالية كبيرة للمؤسسات المتضررة. علاوة على ذلك، يمكن أن تؤثر خسائر التوقف والإنتاجية على الإيرادات والكفاءة التشغيلية.
• التعطيل التشغيلي : يمكن أن تتسبب البرامج الضارة الموجودة في الباب الخلفي في حدوث اضطرابات تشغيلية كبيرة، تتراوح من انقطاع الخدمة إلى سلامة الشبكة للخطر. يمكن أن يؤثر ذلك على العمليات اليومية وربما يؤدي إلى فقدان فرص العمل.
• التسويات طويلة المدى : إذا لم يتم اكتشافها أو لم يتم علاجها بشكل صحيح، يمكن للأبواب الخلفية أن تعرض الأنظمة للخطر بشكل مستمر، مما يسمح للمهاجمين بالوصول والتحكم المستمر. ومن الممكن أن يؤدي هذا الحل الوسط طويل الأمد إلى توسيع نطاق التأثير وتعميق خطورة العواقب بمرور الوقت.

باختصار، تشكل الإصابة ببرامج ضارة خلفية مخاطر جسيمة على الضحايا، بما في ذلك التداعيات المالية والتشغيلية والقانونية والمتعلقة بالسمعة. تعد التدابير الوقائية مثل ممارسات الأمن السيبراني القوية وعمليات التدقيق المنتظمة وتدريب الموظفين أمرًا بالغ الأهمية للتخفيف من هذه المخاطر والحماية من مثل هذه التهديدات.