GoRed Backdoor

Οι ρωσικές οργανώσεις δέχθηκαν επίθεση από μια ομάδα εγκλήματος στον κυβερνοχώρο γνωστή ως ExCobalt, η οποία χρησιμοποιεί μια πρόσφατα ανακαλυφθείσα κερκόπορτα με βάση το Golang που ονομάζεται GoRed.

Η ExCobalt ειδικεύεται στην κατασκοπεία στον κυβερνοχώρο και περιλαμβάνει πολλά μέλη που δραστηριοποιούνται τουλάχιστον από το 2016, πιθανότατα προερχόμενα από τη διαβόητη συμμορία Cobalt . Η συμμορία του Cobalt ήταν διαβόητη για τη στόχευση χρηματοπιστωτικών ιδρυμάτων για να πάρει χρήματα και ένα από τα εργαλεία υπογραφής τους ήταν το CobInt. Η ExCobalt υιοθέτησε τη χρήση του CobInt το 2022.

Πολυάριθμα καταστροφικά εργαλεία που αξιοποιούνται σε επιθέσεις εναντίον στόχων

Κατά τη διάρκεια του περασμένου έτους, ο παράγοντας απειλών έχει στοχεύσει διάφορους τομείς στη Ρωσία, συμπεριλαμβανομένης της κυβέρνησης, της τεχνολογίας πληροφοριών, της μεταλλουργίας, της εξόρυξης, της ανάπτυξης λογισμικού και των τηλεπικοινωνιών.

Οι εισβολείς αποκτούν αρχική πρόσβαση σε περιβάλλοντα εκμεταλλευόμενοι έναν προηγουμένως παραβιασμένο εργολάβο και πραγματοποιώντας επίθεση στην αλυσίδα εφοδιασμού, όπου μολύνουν ένα στοιχείο που χρησιμοποιείται για την κατασκευή του νόμιμου λογισμικού της εταιρείας-στόχου, υποδεικνύοντας υψηλό επίπεδο πολυπλοκότητας.

Ο τρόπος λειτουργίας τους περιλαμβάνει τη χρήση πολλών εργαλείων, όπως τα Metasploit, Mimikatz , ProcDump, SMBExec και το Spark RAT για την εκτέλεση εντολών σε μολυσμένους κεντρικούς υπολογιστές, καθώς και εκμεταλλεύσεις κλιμάκωσης προνομίων Linux (CVE-2019-13272, CVE315 -2021-4034 και CVE-2022-2586).

Το GoRed Backdoor παρέχει πολυάριθμες παρεμβατικές ενέργειες στους ηθοποιούς της απειλής

Το GoRed, το οποίο έχει εξελιχθεί μέσα από πολλές επαναλήψεις από την έναρξή του, είναι ένα ευέλικτο backdoor που επιτρέπει στους χειριστές να εκτελούν εντολές, να λαμβάνουν διαπιστευτήρια και να συλλέγουν λεπτομέρειες σχετικά με τις ενεργές διεργασίες, τις διεπαφές δικτύου και τα συστήματα αρχείων. Χρησιμοποιεί το πρωτόκολλο Remote Procedure Call (RPC) για να επικοινωνεί με τον διακομιστή Command-and-Control (C2).

Επιπλέον, το GoRed υποστηρίζει διάφορες εντολές παρασκηνίου για την παρακολούθηση αρχείων ενδιαφέροντος και κωδικών πρόσβασης, καθώς και για την ενεργοποίηση ενός αντίστροφου κελύφους. Τα δεδομένα που συγκεντρώθηκαν στη συνέχεια εξάγονται σε υποδομή που ελέγχεται από τους εισβολείς.

Η ExCobalt συνεχίζει να επιδεικνύει υψηλό επίπεδο δραστηριότητας και αποφασιστικότητας στοχεύοντας ρωσικές εταιρείες, προσθέτοντας συνεχώς νέα εργαλεία στο οπλοστάσιό της και βελτιώνοντας τις τεχνικές της. Επιπλέον, η ExCobalt επιδεικνύει ευελιξία και προσαρμοστικότητα ενσωματώνοντας τροποποιημένα τυπικά βοηθητικά προγράμματα στο σύνολο εργαλείων της, επιτρέποντας στην ομάδα να παρακάμπτει εύκολα τους ελέγχους ασφαλείας και να προσαρμόζεται στις αλλαγές στις μεθόδους προστασίας.

Οι μολύνσεις από κακόβουλο λογισμικό παρασκηνίου θα μπορούσαν να οδηγήσουν σε σοβαρές συνέπειες

Μια μόλυνση από κακόβουλο λογισμικό backdoor μπορεί να έχει σοβαρές συνέπειες για τα θύματά του, οδηγώντας σε:

• Μη εξουσιοδοτημένη πρόσβαση : Οι κερκόπορτες επιτρέπουν στους εισβολείς να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση στο μολυσμένο σύστημα ή δίκτυο. Αυτό μπορεί να καταλήξει με κλοπή προσωπικών πληροφοριών που μπορεί να περιλαμβάνουν προσωπικά δεδομένα, οικονομικά αρχεία, πνευματική ιδιοκτησία ή διαβαθμισμένες κρατικές πληροφορίες.
• Κλοπή δεδομένων και κατασκοπεία : Οι επιτιθέμενοι μπορούν να εκμεταλλευτούν δεδομένα από το παραβιασμένο σύστημα, οδηγώντας σε πιθανές παραβιάσεις δεδομένων. Αυτές οι συγκεντρωμένες πληροφορίες μπορούν να πωληθούν στο Dark Web, να χρησιμοποιηθούν για κλοπή ταυτότητας ή να αξιοποιηθούν για ανταγωνιστικό πλεονέκτημα από ανταγωνιστικούς οργανισμούς.
• Μόνιμη επιτήρηση : Οι κερκόπορτες συχνά επιτρέπουν την επίμονη επιτήρηση επιτρέποντας στους εισβολείς να παρακολουθούν τη δραστηριότητα των χρηστών, να καταγράφουν πατήματα πλήκτρων, να καταγράφουν κωδικούς πρόσβασης και να παρατηρούν την κυκλοφορία του δικτύου. Αυτή η επιτήρηση μπορεί να θέσει σε κίνδυνο την εμπιστευτικότητα και το απόρρητο των ατόμων και των οργανισμών.
• Χειρισμός συστήματος : Οι εισβολείς ενδέχεται να χειραγωγήσουν το παραβιασμένο σύστημα για επιβλαβείς σκοπούς, όπως η εκτόξευση περαιτέρω επιθέσεων (π.χ. διανομή ανεπιθύμητων μηνυμάτων ή επιθέσεις DDoS), η τροποποίηση ή η διαγραφή δεδομένων ή η διακοπή κρίσιμων υπηρεσιών.
• Ζημιά στη φήμη και την εμπιστοσύνη : Μια παραβίαση που προκαλείται από κακόβουλο λογισμικό backdoor μπορεί να βλάψει τη φήμη ενός οργανισμού και να διαβρώσει την εμπιστοσύνη των πελατών. Οι οργανισμοί ενδέχεται να αντιμετωπίσουν νομικές και ρυθμιστικές επιπτώσεις, ειδικά εάν δεν προστατεύουν επαρκώς τα ευαίσθητα δεδομένα.
• Οικονομικές απώλειες : Οι προσπάθειες αποκατάστασης, συμπεριλαμβανομένων των εγκληματολογικών ερευνών, των επισκευών συστημάτων και των πιθανών νομικών εξόδων, μπορούν να οδηγήσουν σε σημαντικές οικονομικές απώλειες για τους επηρεαζόμενους οργανισμούς. Επιπλέον, οι απώλειες χρόνου διακοπής και παραγωγικότητας μπορούν να επηρεάσουν τα έσοδα και τη λειτουργική αποτελεσματικότητα.
• Λειτουργική διακοπή : Ένα κακόβουλο λογισμικό backdoor μπορεί να προκαλέσει σημαντικές λειτουργικές διακοπές, που κυμαίνονται από διακοπές της υπηρεσίας έως παραβιασμένη ακεραιότητα δικτύου. Αυτό μπορεί να επηρεάσει τις καθημερινές λειτουργίες και ενδεχομένως να οδηγήσει σε απώλεια επιχειρηματικών ευκαιριών.
• Μακροπρόθεσμοι συμβιβασμοί : Εάν δεν εντοπιστούν ή δεν διορθωθούν σωστά, οι κερκόπορτες μπορούν να υπονομεύσουν μόνιμα τα συστήματα, επιτρέποντας στους εισβολείς συνεχή πρόσβαση και έλεγχο. Αυτός ο μακροπρόθεσμος συμβιβασμός μπορεί να επεκτείνει τον αντίκτυπο και να βαθύνει τη σοβαρότητα των συνεπειών με την πάροδο του χρόνου.

Συνοπτικά, μια μόλυνση από κακόβουλο λογισμικό backdoor εγκυμονεί σοβαρούς κινδύνους για τα θύματα, που περιλαμβάνει οικονομικές, λειτουργικές, φήμη και νομικές επιπτώσεις. Τα προληπτικά μέτρα, όπως οι ισχυρές πρακτικές ασφάλειας στον κυβερνοχώρο, οι τακτικοί έλεγχοι και η εκπαίδευση των εργαζομένων είναι ζωτικής σημασίας για τον μετριασμό αυτών των κινδύνων και την προστασία από τέτοιες απειλές.