ГоРед Бацкдоор

Руске организације напала је група за сајбер криминал познат као ЕкЦобалт, која користи новооткривена позадинска врата заснована на Голангу под називом ГоРед.

ЕкЦобалт је специјализован за сајбер шпијунажу и састоји се од неколико чланова који су активни од најмање 2016. године, вероватно пореклом из злогласне Цобалт Ганг. Кобалтова банда је била позната по томе што је циљала финансијске институције како би узеле новац, а један од њихових препознатљивих алата био је ЦобИнт. ЕкЦобалт је усвојио употребу ЦобИнт -а 2022.

Бројни штетни алати који се користе у нападима на мете

Током прошле године, актер претње је циљао различите секторе у Русији, укључујући владу, информационе технологије, металургију, рударство, развој софтвера и телекомуникације.

Нападачи добијају почетни приступ окружењима експлоатацијом претходно компромитованог уговарача и извођењем напада на ланац снабдевања, где инфицирају компоненту која се користи за изградњу легитимног софтвера циљне компаније, што указује на висок ниво софистицираности.

Њихов начин рада укључује коришћење неколико алата, као што су Метасплоит, Мимикатз , ПроцДумп, СМБЕкец и Спарк РАТ за извршавање команди на зараженим хостовима, као и експлоатације Линук привилегија (ЦВЕ-2019-13272, ЦВЕ-2021-311 -2021-4034 и ЦВЕ-2022-2586).

ГоРед Бацкдоор пружа бројне наметљиве радње актерима претњи

ГоРед, који је еволуирао кроз бројне итерације од свог почетка, је свестран бацкдоор који омогућава оператерима да извршавају команде, добијају акредитиве и прикупљају детаље о активним процесима, мрежним интерфејсима и системима датотека. Користи протокол Ремоте Процедуре Цалл (РПЦ) за комуникацију са својим сервером за команду и контролу (Ц2).

Поред тога, ГоРед подржава различите позадинске команде за праћење датотека од интереса и лозинки, као и омогућавање обрнуте љуске. Прикупљени подаци се затим извозе у инфраструктуру коју контролише нападач.

ЕкЦобалт наставља да показује висок ниво активности и одлучности у циљању руских компанија, непрестано додајући нове алате свом арсеналу и усавршавајући своје технике. Штавише, ЕкЦобалт показује флексибилност и прилагодљивост уградњом модификованих стандардних услужних програма у свој скуп алата, омогућавајући групи да лако заобиђе безбедносне контроле и прилагоди се променама у методама заштите.

Позадинске инфекције малвером могу довести до тешких последица

Инфекција са бацкдоор малвером може имати озбиљне последице по жртве, што доводи до:

• Неовлашћени приступ : Бацкдоорс омогућавају нападачима да добију неовлашћени приступ зараженом систему или мрежи. Ово се може завршити крађом личних података који могу укључивати личне податке, финансијске евиденције, интелектуалну својину или поверљиве државне информације.
• Крађа података и шпијунажа : Нападачи могу ексфилтрирати податке из компромитованог система, што може довести до потенцијалног кршења података. Ове прикупљене информације могу се продати на Дарк Веб-у, користити за крађу идентитета или искористити за конкурентску предност од стране ривалских организација.
• Стални надзор : Бацкдоорс често омогућавају упорни надзор дозвољавајући нападачима да прате активности корисника, снимају притиске на тастере, евидентирају лозинке и посматрају мрежни саобраћај. Овај надзор може угрозити поверљивост и приватност појединаца и организација.
• Манипулација системом : Нападачи могу манипулисати компромитованим системом у штетне сврхе, као што су покретање даљих напада (нпр. дистрибуција нежељене поште или покретање ДДоС напада), мењање или брисање података или ометање критичних услуга.
• Оштећење репутације и поверења : Кршење које је проузроковао малициозни софтвер може оштетити репутацију организације и нарушити поверење корисника. Организације се могу суочити са правним и регулаторним последицама, посебно ако не штите на адекватан начин осетљиве податке.
• Финансијски губици : Напори санације, укључујући форензичке истраге, поправке система и потенцијалне правне таксе, могу довести до значајних финансијских губитака за погођене организације. Штавише, застоји и губици у продуктивности могу утицати на приход и оперативну ефикасност.
• Оперативни поремећај : Позадински злонамерни софтвер може да изазове значајне сметње у раду, у распону од прекида услуга до угроженог интегритета мреже. Ово може утицати на свакодневне операције и потенцијално довести до губитка пословних прилика.
• Дугорочни компромиси : Ако се не открију или се не поправе на одговарајући начин, бацкдоор могу упорно компромитовати системе, омогућавајући нападачима стални приступ и контролу. Овај дугорочни компромис може продубити утицај и продубити озбиљност последица током времена.

Укратко, инфекција са бацкдоор малвером представља озбиљне ризике за жртве, укључујући финансијске, оперативне, репутацијске и правне последице. Превентивне мере као што су снажне праксе сајбер безбедности, редовне ревизије и обука запослених су кључне за ублажавање ових ризика и заштиту од таквих претњи.