GoRed Backdoor

Krievijas organizācijām ir uzbrukusi kibernoziedzības grupa, kas pazīstama ar nosaukumu ExCobalt, kas izmanto jaunatklātu Golangas aizmugures durvis ar nosaukumu GoRed.

ExCobalt specializējas kiberspiegošanā, un tajā ir vairāki dalībnieki, kuri ir aktīvi darbojušies vismaz kopš 2016. gada un, visticamāk, ir no bēdīgi slavenās Kobalta bandas. Kobalta banda bija bēdīgi slavena ar to, ka mērķēja uz finanšu iestādēm, lai iegūtu naudu, un viens no to parakstīšanas rīkiem bija CobInt. ExCobalt pieņēma CobInt izmantošanu 2022. gadā.

Uzbrukumos pret mērķiem izmantoti daudzi postoši rīki

Pēdējā gada laikā draudu aktieris ir vērsies pret dažādām Krievijas nozarēm, tostarp valsts pārvaldi, informācijas tehnoloģijām, metalurģiju, kalnrūpniecību, programmatūras izstrādi un telekomunikācijām.

Uzbrucēji iegūst sākotnējo piekļuvi videi, izmantojot iepriekš apdraudētu darbuzņēmēju un veicot piegādes ķēdes uzbrukumu, kurā inficē komponentu, ko izmanto mērķa uzņēmuma likumīgās programmatūras izveidei, norādot uz augstu sarežģītības līmeni.

Viņu darbības veids ietver vairāku rīku izmantošanu, piemēram, Metasploit, Mimikatz , ProcDump, SMBExec un Spark RAT, lai izpildītu komandas inficētos saimniekdatoros, kā arī Linux privilēģiju eskalācijas izmantošanas (CVE-2019-13272, CVE-2021-3156, CVE-3156). -2021-4034 un CVE-2022-2586).

GoRed Backdoor nodrošina daudzas uzmācīgas darbības draudu dalībniekiem

GoRed, kas kopš tās pirmsākumiem ir attīstījies, izmantojot daudzas iterācijas, ir daudzpusīga aizmugures durvis, kas ļauj operatoriem izpildīt komandas, iegūt akreditācijas datus un apkopot informāciju par aktīvajiem procesiem, tīkla saskarnēm un failu sistēmām. Tas izmanto attālās procedūras izsaukuma (RPC) protokolu, lai sazinātos ar savu komandu un vadības (C2) serveri.

Turklāt GoRed atbalsta dažādas fona komandas, lai pārraudzītu interesējošos failus un paroles, kā arī iespējotu reverso apvalku. Pēc tam apkopotie dati tiek eksportēti uz uzbrucēju kontrolētu infrastruktūru.

ExCobalt turpina demonstrēt augstu aktivitātes un apņēmības līmeni, mērķējot uz Krievijas uzņēmumiem, nepārtraukti papildinot savu arsenālu un pilnveidojot metodes. Turklāt ExCobalt demonstrē elastību un pielāgojamību, savā rīku komplektā iekļaujot modificētas standarta utilītas, ļaujot grupai viegli apiet drošības kontroles un pielāgoties izmaiņām aizsardzības metodēs.

Backdoor ļaunprātīgas programmatūras infekcijas var izraisīt nopietnas sekas

Inficēšanās ar aizmugures ļaunprātīgu programmatūru var radīt nopietnas sekas tās upuriem, izraisot:

• Nesankcionēta piekļuve : aizmugures durvis ļauj uzbrucējiem iegūt nesankcionētu piekļuvi inficētajai sistēmai vai tīklam. Tas var beigties ar personas informācijas zādzību, kas var ietvert personas datus, finanšu ierakstus, intelektuālo īpašumu vai klasificētu valdības informāciju.
• Datu zādzība un spiegošana : uzbrucēji var izfiltrēt datus no apdraudētās sistēmas, izraisot iespējamus datu pārkāpumus. Šo ievākto informāciju var pārdot tumšajā tīmeklī, izmantot identitātes zādzībām vai izmantot konkurējošās organizācijas, lai iegūtu konkurences priekšrocības.
• Pastāvīga uzraudzība : aizmugures durvis bieži nodrošina pastāvīgu uzraudzību, ļaujot uzbrucējiem pārraudzīt lietotāju darbības, tvert taustiņu nospiešanu, reģistrēt paroles un novērot tīkla trafiku. Šī uzraudzība var apdraudēt personu un organizāciju konfidencialitāti un privātumu.
• Sistēmas manipulācijas : uzbrucēji var manipulēt ar apdraudēto sistēmu kaitīgos nolūkos, piemēram, lai veiktu turpmākus uzbrukumus (piemēram, izplatītu surogātpastu vai uzsāktu DDoS uzbrukumus), mainītu vai dzēstu datus vai traucētu kritiskos pakalpojumus.
• Kaitējums reputācijai un uzticībai : pārkāpums, ko izraisa aizmugures ļaunprātīga programmatūra, var sabojāt organizācijas reputāciju un iedragāt klientu uzticību. Organizācijas var saskarties ar tiesiskām un regulējošām sekām, īpaši, ja tās pienācīgi neaizsargā sensitīvos datus.
• Finansiālie zaudējumi : atlīdzināšanas pasākumi, tostarp kriminālistikas izmeklēšana, sistēmas remonts un iespējamās juridiskās maksas, var radīt ievērojamus finansiālus zaudējumus ietekmētajām organizācijām. Turklāt dīkstāves un produktivitātes zudumi var ietekmēt ieņēmumus un darbības efektivitāti.
• Darbības traucējumi : aizmugures durvju ļaunprātīga programmatūra var izraisīt ievērojamus darbības traucējumus, sākot no pakalpojuma pārtraukumiem līdz tīkla integritātes apdraudējumam. Tas var ietekmēt ikdienas darbību un potenciāli novest pie biznesa iespēju zaudēšanas.
• Ilgtermiņa kompromisi : ja tās netiek atklātas vai netiek pienācīgi novērstas, aizmugures durvis var pastāvīgi apdraudēt sistēmas, ļaujot uzbrucējiem nepārtraukti piekļūt un kontrolēt. Šis ilgtermiņa kompromiss laika gaitā var paplašināt ietekmi un padziļināt seku nopietnību.

Rezumējot, inficēšanās ar aizmugures ļaunprātīgu programmatūru rada nopietnus riskus upuriem, ietverot finansiālas, darbības, reputācijas un juridiskas sekas. Profilaktiski pasākumi, piemēram, stingra kiberdrošības prakse, regulāras revīzijas un darbinieku apmācība, ir ļoti svarīgi, lai mazinātu šos riskus un aizsargātu pret šādiem draudiem.