Porta sul retro della Crowdoor

Backdoor come Crowdoor rappresentano un pericolo critico per organizzazioni e individui nel panorama in continua evoluzione delle minacce alla sicurezza informatica. Le backdoor consentono agli aggressori di aggirare le misure di sicurezza e ottenere accesso non autorizzato ai sistemi, spesso senza essere rilevati per lunghi periodi. La backdoor Crowdoor , che è recentemente riemersa in una campagna mirata a enti governativi in Medio Oriente e Malesia, è particolarmente minacciosa a causa della sua capacità di compromettere in modo persistente obiettivi di alto valore. Comprendere le sue capacità e i suoi metodi di distribuzione è fondamentale per salvaguardare le reti sensibili da violazioni potenzialmente devastanti.

Una minaccia informatica persistente: la backdoor Crowdoor

Osservato per la prima volta nel giugno 2023, Crowdoor è una variante della backdoor SparrowDoor precedentemente documentata e identificata nel 2021. Crowdoor si è evoluto, funzionando non solo come backdoor ma anche come loader in grado di distribuire altri strumenti minacciosi, tra cui Cobalt Strike , un framework popolare utilizzato per attività di post-sfruttamento.

Il malware Crowdoor garantisce agli aggressori un elevato grado di controllo sui sistemi compromessi, consentendo loro di eseguire comandi da remoto, stabilire reverse shell e persino rimuovere le prove della loro presenza eliminando altri file non sicuri. La sua versatilità, combinata con la sua capacità di persistere sugli host infetti, rende Crowdoor uno strumento pericoloso nell'arsenale dei gruppi Advanced Persistent Threat (APT).

Tropic Trooper: l'APT dietro la campagna Crowdoor

L'attore di minacce informatiche Tropic Trooper , noto anche con alias come APT23, Earth Centaur, KeyBoy e Pirate Panda, ha una lunga storia di attacchi a settori governativi, sanitari e high-tech, principalmente in Asia orientale. Dal 2011, questo collettivo di lingua cinese ha lanciato attacchi contro entità a Taiwan, Hong Kong e Filippine. Tuttavia, le sue attività si sono recentemente espanse per includere obiettivi in Medio Oriente e Malesia.

Tropic Trooper è noto per l'uso di tattiche e strumenti sofisticati, tra cui malware condivisi come China Chopper Web shell, che fornisce accesso remoto a server compromessi. La recente campagna del gruppo, rilevata nel 2024, è stata progettata per distribuire Crowdoor su sistemi vulnerabili. Sebbene i loro sforzi siano stati alla fine vanificati, la scoperta di Crowdoor sottolinea la natura persistente e in evoluzione delle minacce APT.

La catena di attacco Crowdoor: un approccio sofisticato

La catena di attacco che fornisce Crowdoor inizia con lo sfruttamento delle vulnerabilità nei server Web accessibili al pubblico, spesso quelli che eseguono Content Management Systems (CMS) open source come Umbraco . Compromettendo questi sistemi, gli aggressori possono caricare strumenti minacciosi come la shell Web China Chopper per mantenere l'accesso remoto. Una volta all'interno della rete, gli aggressori distribuiscono la backdoor Crowdoor , che agisce sia come loader che come minaccia persistente, consentendo il download e l'esecuzione di malware aggiuntivo, come Cobalt Strike , per raggiungere livelli di compromissione più profondi.

Oltre a facilitare l'esecuzione di comandi remoti e l'esfiltrazione di dati, Crowdoor è in grado di terminare i propri processi, cancellare altri file malware ed eludere il rilevamento, rendendo estremamente difficile per i difensori identificarlo e neutralizzarlo.

Tattiche di distribuzione discutibili: come Crowdoor si infiltra nei sistemi

Backdoor come Crowdoor spesso hanno successo grazie a tattiche di distribuzione sofisticate e ingannevoli. Nel caso della campagna Crowdoor , gli aggressori hanno sfruttato piattaforme CMS compromesse come punti di ingresso. Queste piattaforme open source potrebbero avere vulnerabilità non corrette che consentono agli aggressori di caricare file corrotti, tra cui Web shell come China Chopper . Da lì, la backdoor può essere installata silenziosamente sul sistema di destinazione senza far scattare l'allarme.

Un altro metodo comune per distribuire backdoor come Crowdoor riguarda le campagne di phishing. In queste campagne, gli aggressori inviano email apparentemente legittime contenenti link o allegati fraudolenti. Una volta aperto, il malware può essere installato silenziosamente sul sistema, consentendo all'aggressore di aggirare i controlli di sicurezza e ottenere un accesso a lungo termine alla rete.

La combinazione di sfruttamento del Web e ingegneria sociale sottolinea la versatilità di autori di minacce come Tropic Trooper , che adattano le loro tattiche alle debolezze delle difese dei loro obiettivi.

Difendersi dal Backdoor Crowdoor

Prevenire le infezioni tramite backdoor sofisticate come Crowdoor richiede un approccio di sicurezza multistrato. Ecco le misure essenziali che le organizzazioni possono adottare:

1. Gestione delle patch : aggiornare e applicare patch regolarmente a tutti i software, comprese le piattaforme CMS open source, per chiudere le vulnerabilità note che gli aggressori potrebbero sfruttare.
2. Monitoraggio della rete : implementare un monitoraggio della rete efficace per rilevare attività insolite, come accessi non autorizzati o caricamenti di file, che potrebbero indicare un tentativo di infiltrazione.

Il Crowdoor Backdoor rappresenta una minaccia dannosa e persistente, soprattutto quando viene utilizzato da attori esperti come Tropic Trooper . La sua capacità di distribuire malware aggiuntivo, mantenere un accesso furtivo ed esfiltrare dati sensibili sottolinea l'importanza di mantenere la vigilanza e di adottare solide pratiche di sicurezza informatica. Comprendendo i metodi di infiltrazione e impiegando misure di sicurezza proattive, le organizzazioni possono ridurre il rischio di cadere vittime di questa e di altre minacce informatiche avanzate.