GoRed Backdoor

Ruské organizace byly napadeny kyberzločineckou skupinou známou jako ExCobalt, která využívá nově objevená zadní vrátka GoRed na bázi Golang.

ExCobalt se specializuje na kybernetickou špionáž a zahrnuje několik členů, kteří jsou aktivní minimálně od roku 2016 a pravděpodobně pocházejí z nechvalně známého Cobalt Gangu. Cobalt Gang byl známý tím, že se zaměřoval na finanční instituce, aby vzaly peníze, a jedním z jejich podpisových nástrojů byl CobInt. ExCobalt přijal použití CobInt v roce 2022.

Při útocích proti cílům se využívá mnoho škodlivých nástrojů

Během posledního roku se aktér hrozby zaměřil na různá odvětví v Rusku, včetně vlády, informačních technologií, metalurgie, těžby, vývoje softwaru a telekomunikací.

Útočníci získají počáteční přístup do prostředí zneužitím dříve kompromitovaného dodavatele a provedením útoku na dodavatelský řetězec, kde infikují komponentu použitou k vytvoření legitimního softwaru cílové společnosti, což ukazuje na vysokou úroveň sofistikovanosti.

Jejich modus operandi zahrnuje použití několika nástrojů, jako je Metasploit, Mimikatz , ProcDump, SMBExec a Spark RAT pro provádění příkazů na infikovaných hostitelích, stejně jako zneužití eskalace oprávnění Linuxu (CVE-2019-13272, CVE-2021-3156, CVE -2021-4034 a CVE-2022-2586).

GoRed Backdoor poskytuje četné rušivé akce pro aktéry hrozeb

GoRed, který se od svého vzniku vyvíjel v mnoha iteracích, je všestranná zadní vrátka, která operátorům umožňuje provádět příkazy, získávat přihlašovací údaje a shromažďovat podrobnosti o aktivních procesech, síťových rozhraních a souborových systémech. Ke komunikaci se serverem Command-and-Control (C2) využívá protokol Remote Procedure Call (RPC).

GoRed navíc podporuje různé příkazy na pozadí pro sledování zajímavých souborů a hesel a také umožňuje reverzní shell. Shromážděná data jsou poté exportována do infrastruktury řízené útočníkem.

ExCobalt i nadále vykazuje vysokou úroveň aktivity a odhodlání při zaměření na ruské společnosti, neustále přidává nové nástroje do svého arzenálu a zdokonaluje své techniky. Kromě toho ExCobalt prokazuje flexibilitu a přizpůsobivost začleněním upravených standardních utilit do své sady nástrojů, což skupině umožňuje snadno obejít bezpečnostní kontroly a přizpůsobit se změnám v metodách ochrany.

Infekce malwaru backdoor by mohly vést k vážným následkům

Infekce malwarem typu backdoor může mít pro své oběti vážné následky, které mohou vést k:

• Neoprávněný přístup : Zadní vrátka umožňují útočníkům získat neoprávněný přístup k infikovanému systému nebo síti. To může skončit krádeží osobních informací, které mohou zahrnovat osobní údaje, finanční záznamy, duševní vlastnictví nebo utajované vládní informace.
• Krádež dat a špionáž : Útočníci mohou získat data z napadeného systému, což vede k potenciálnímu úniku dat. Tyto získané informace lze prodat na temném webu, použít ke krádeži identity nebo zneužít pro konkurenční výhodu konkurenčními organizacemi.
• Trvalý dohled : Zadní vrátka často umožňují trvalé sledování tím, že umožňují útočníkům sledovat aktivitu uživatelů, zachycovat stisknuté klávesy, zaznamenávat hesla a sledovat síťový provoz. Tento dohled může ohrozit důvěrnost a soukromí jednotlivců a organizací.
• Manipulace se systémem : Útočníci mohou manipulovat s napadeným systémem pro škodlivé účely, jako je spuštění dalších útoků (např. distribuce spamu nebo spuštění DDoS útoků), pozměňování nebo mazání dat nebo narušení kritických služeb.
• Poškození reputace a důvěry : Narušení způsobené malwarem typu backdoor může poškodit pověst organizace a narušit důvěru zákazníků. Organizace mohou čelit právním a regulačním dopadům, zejména pokud dostatečně nechrání citlivá data.
• Finanční ztráty : Náprava, včetně forenzního vyšetřování, oprav systému a potenciálních právních poplatků, může vést k významným finančním ztrátám pro postižené organizace. Kromě toho mohou prostoje a ztráty produktivity ovlivnit výnosy a provozní efektivitu.
• Provozní narušení : Malware typu backdoor může způsobit významná provozní narušení, od výpadků služeb až po narušení integrity sítě. To může ovlivnit každodenní provoz a potenciálně vést ke ztrátě obchodních příležitostí.
• Dlouhodobé kompromisy : Pokud nejsou odhaleny nebo nejsou řádně napraveny, mohou zadní vrátka trvale kompromitovat systémy a umožnit útočníkům nepřetržitý přístup a kontrolu. Tento dlouhodobý kompromis může v průběhu času prodloužit dopad a prohloubit závažnost následků.

Stručně řečeno, infekce malwarem typu backdoor představuje pro oběti vážná rizika, která zahrnují finanční, provozní, reputační a právní důsledky. Preventivní opatření, jako jsou robustní postupy kybernetické bezpečnosti, pravidelné audity a školení zaměstnanců, jsou zásadní pro zmírnění těchto rizik a ochranu před takovými hrozbami.