GoRed Bagdør

Russiske organisationer er blevet angrebet af en cyberkriminalitetsgruppe kendt som ExCobalt, som anvender en nyopdaget Golang-baseret bagdør kaldet GoRed.

ExCobalt har specialiseret sig i cyberspionage og omfatter flere medlemmer, der har været aktive siden mindst 2016, sandsynligvis stammende fra den berygtede Cobalt Bande. Cobalt Banden var berygtet for at målrette finansielle institutioner for at tage penge, og et af deres signaturværktøjer var CobInt. ExCobalt vedtog brugen af CobInt i 2022.

Talrige skadelige værktøjer, der udnyttes i angreb mod mål

I løbet af det seneste år har trusselsaktøren rettet sig mod forskellige sektorer i Rusland, herunder regering, informationsteknologi, metallurgi, minedrift, softwareudvikling og telekommunikation.

Angriberne får indledende adgang til miljøer ved at udnytte en tidligere kompromitteret entreprenør og udføre et forsyningskædeangreb, hvor de inficerer en komponent, der bruges til at bygge målvirksomhedens legitime software, hvilket indikerer et højt niveau af sofistikering.

Deres modus operandi involverer brug af adskillige værktøjer, såsom Metasploit, Mimikatz , ProcDump, SMBExec og Spark RAT til at udføre kommandoer på inficerede værter, samt Linux-privilegieeskaleringsudnyttelser (CVE-2019-13272, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, og -2021-4034 og CVE-2022-2586).

GoRed Bagdøren giver adskillige påtrængende handlinger til trusselsaktørerne

GoRed, som har udviklet sig gennem adskillige iterationer siden starten, er en alsidig bagdør, der gør det muligt for operatører at udføre kommandoer, indhente legitimationsoplysninger og indsamle detaljer om aktive processer, netværksgrænseflader og filsystemer. Den bruger RPC-protokollen (Remote Procedure Call) til at kommunikere med dens Command-and-Control-server (C2).

Derudover understøtter GoRed forskellige baggrundskommandoer til at overvåge filer af interesse og adgangskoder, samt aktivere en omvendt shell. De indsamlede data eksporteres derefter til angriberstyret infrastruktur.

ExCobalt fortsætter med at vise et højt aktivitetsniveau og beslutsomhed i at målrette mod russiske virksomheder, løbende tilføje nye værktøjer til sit arsenal og forfine sine teknikker. Desuden demonstrerer ExCobalt fleksibilitet og tilpasningsevne ved at inkorporere modificerede standardværktøjer i sit værktøjssæt, hvilket giver gruppen mulighed for nemt at omgå sikkerhedskontrol og tilpasse sig ændringer i beskyttelsesmetoder.

Backdoor Malware-infektioner kan føre til alvorlige konsekvenser

En infektion med en bagdør-malware kan have alvorlige konsekvenser for dets ofre, hvilket fører til:

• Uautoriseret adgang : Bagdøre giver angribere mulighed for at få uautoriseret adgang til det inficerede system eller netværk. Dette kan ende med tyveri af personlige oplysninger, der kan omfatte personlige data, økonomiske optegnelser, intellektuel ejendom eller klassificerede offentlige oplysninger.
• Datatyveri og spionage : Angribere kan udskille data fra det kompromitterede system, hvilket fører til potentielle databrud. Denne indsamlede information kan sælges på Dark Web, bruges til identitetstyveri eller udnyttes til konkurrencefordele af rivaliserende organisationer.
• Vedvarende overvågning : Bagdøre muliggør ofte vedvarende overvågning ved at tillade angribere at overvåge brugeraktivitet, fange tastetryk, logge adgangskoder og observere netværkstrafik. Denne overvågning kan kompromittere fortroligheden og privatlivets fred for enkeltpersoner og organisationer.
• Systemmanipulation : Angribere kan manipulere det kompromitterede system til skadelige formål, såsom at starte yderligere angreb (f.eks. distribuere spam eller starte DDoS-angreb), ændre eller slette data eller afbryde kritiske tjenester.
• Skade på omdømme og tillid : Et brud forårsaget af bagdør-malware kan skade en organisations omdømme og udhule kundernes tillid. Organisationer kan blive udsat for juridiske og lovgivningsmæssige konsekvenser, især hvis de ikke beskytter følsomme data tilstrækkeligt.
• Økonomiske tab : Udbedringsindsatser, herunder retsmedicinske undersøgelser, systemreparationer og potentielle advokatomkostninger, kan føre til betydelige økonomiske tab for berørte organisationer. Desuden kan nedetid og produktivitetstab påvirke omsætning og driftseffektivitet.
• Driftsforstyrrelse : En bagdørs-malware kan forårsage betydelige driftsforstyrrelser, lige fra serviceafbrydelser til kompromitteret netværksintegritet. Dette kan påvirke den daglige drift og potentielt føre til tab af forretningsmuligheder.
• Langsigtede kompromiser : Hvis de ikke opdages eller ikke afhjælpes korrekt, kan bagdøre vedvarende kompromittere systemer, hvilket giver angribere mulighed for løbende adgang og kontrol. Dette langsigtede kompromis kan forlænge virkningen og forværre konsekvensernes alvor over tid.

Sammenfattende udgør en infektion med bagdørs-malware alvorlige risici for ofre, der omfatter økonomiske, operationelle, omdømmemæssige og juridiske konsekvenser. Forebyggende foranstaltninger såsom robust cybersikkerhedspraksis, regelmæssige audits og medarbejderuddannelse er afgørende for at mindske disse risici og beskytte mod sådanne trusler.