GoRed Bakdør

Russiske organisasjoner har blitt angrepet av en nettkriminalitetsgruppe kjent som ExCobalt, som bruker en nyoppdaget Golang-basert bakdør kalt GoRed.

ExCobalt spesialiserer seg på cyberspionasje og består av flere medlemmer som har vært aktive siden minst 2016, sannsynligvis stammer fra den beryktede Cobalt Gang. The Cobalt Gang var beryktet for å målrette finansinstitusjoner for å ta penger, og et av deres signaturverktøy var CobInt. ExCobalt tok i bruk CobInt i 2022.

Tallrike skadelige verktøy utnyttet i angrep mot mål

I løpet av det siste året har trusselaktøren rettet seg mot ulike sektorer i Russland, inkludert myndigheter, informasjonsteknologi, metallurgi, gruvedrift, programvareutvikling og telekommunikasjon.

Angriperne får innledende tilgang til miljøer ved å utnytte en tidligere kompromittert entreprenør og gjennomføre et forsyningskjedeangrep, der de infiserer en komponent som brukes til å bygge målselskapets legitime programvare, noe som indikerer et høyt sofistikert nivå.

Arbeidsmåten deres innebærer å bruke flere verktøy, som Metasploit, Mimikatz , ProcDump, SMBExec og Spark RAT for å utføre kommandoer på infiserte verter, samt Linux-privilegieeskaleringsutnyttelser (CVE-2019-13272, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, samt Linux-privilegieeskaleringsutnyttelse av Linux-eskalering). -2021-4034 og CVE-2022-2586).

GoRed-bakdøren gir mange påtrengende handlinger til trusselaktørene

GoRed, som har utviklet seg gjennom en rekke iterasjoner siden starten, er en allsidig bakdør som gjør det mulig for operatører å utføre kommandoer, innhente legitimasjon og samle detaljer om aktive prosesser, nettverksgrensesnitt og filsystemer. Den bruker RPC-protokollen (Remote Procedure Call) for å kommunisere med Command-and-Control-serveren (C2).

I tillegg støtter GoRed forskjellige bakgrunnskommandoer for å overvåke filer av interesse og passord, i tillegg til å aktivere et omvendt skall. De innsamlede dataene eksporteres deretter til angriperkontrollert infrastruktur.

ExCobalt fortsetter å vise høyt aktivitetsnivå og besluttsomhet når det gjelder målretting mot russiske selskaper, og legger kontinuerlig til nye verktøy til sitt arsenal og foredler teknikkene. Dessuten demonstrerer ExCobalt fleksibilitet og tilpasningsevne ved å inkorporere modifiserte standardverktøy i verktøysettet, slik at gruppen enkelt kan omgå sikkerhetskontroller og tilpasse seg endringer i beskyttelsesmetoder.

Infeksjoner av skadelig programvare bakdør kan føre til alvorlige konsekvenser

En infeksjon med en bakdør malware kan ha alvorlige konsekvenser for ofrene, og føre til:

• Uautorisert tilgang : Bakdører lar angripere få uautorisert tilgang til det infiserte systemet eller nettverket. Dette kan ende opp med tyveri av personlig informasjon som kan inkludere personopplysninger, økonomiske poster, åndsverk eller gradert offentlig informasjon.
• Datatyveri og spionasje : Angripere kan eksfiltrere data fra det kompromitterte systemet, noe som fører til potensielle datainnbrudd. Denne innhentede informasjonen kan selges på Dark Web, brukes til identitetstyveri eller utnyttes til konkurransefortrinn av rivaliserende organisasjoner.
• Vedvarende overvåking : Bakdører muliggjør ofte vedvarende overvåking ved å la angripere overvåke brukeraktivitet, fange tastetrykk, logge passord og observere nettverkstrafikk. Denne overvåkingen kan kompromittere konfidensialiteten og personvernet til enkeltpersoner og organisasjoner.
• Systemmanipulasjon : Angripere kan manipulere det kompromitterte systemet for skadelige formål, som å starte ytterligere angrep (f.eks. distribuere spam eller starte DDoS-angrep), endre eller slette data eller forstyrre kritiske tjenester.
• Skade på omdømme og tillit : Et brudd forårsaket av bakdørs skadelig programvare kan skade en organisasjons omdømme og ødelegge kundenes tillit. Organisasjoner kan møte juridiske og regulatoriske konsekvenser, spesielt hvis de ikke beskytter sensitive data tilstrekkelig.
• Økonomiske tap : Utbedringstiltak, inkludert rettsmedisinske undersøkelser, systemreparasjoner og potensielle juridiske gebyrer, kan føre til betydelige økonomiske tap for berørte organisasjoner. I tillegg kan nedetid og produktivitetstap påvirke inntekter og driftseffektivitet.
• Driftsforstyrrelse : En bakdør skadelig programvare kan forårsake betydelige driftsforstyrrelser, alt fra driftsavbrudd til kompromittert nettverksintegritet. Dette kan påvirke den daglige driften og potensielt føre til tap av forretningsmuligheter.
• Langsiktige kompromisser : Hvis de ikke oppdages eller ikke blir rettet opp på riktig måte, kan bakdører vedvarende kompromittere systemer, slik at angripere får kontinuerlig tilgang og kontroll. Dette langsiktige kompromisset kan forlenge virkningen og forsterke alvorlighetsgraden av konsekvensene over tid.

Oppsummert utgjør en infeksjon med bakdør skadelig programvare alvorlige risikoer for ofre, som omfatter økonomiske, operasjonelle, omdømmemessige og juridiske konsekvenser. Forebyggende tiltak som robust cybersikkerhetspraksis, regelmessige revisjoner og opplæring av ansatte er avgjørende for å redusere disse risikoene og beskytte mot slike trusler.