GoRed Bakdörr

Ryska organisationer har attackerats av en cyberbrottsgrupp känd som ExCobalt, som använder en nyupptäckt Golang-baserad bakdörr som heter GoRed.

ExCobalt är specialiserat på cyberspionage och består av flera medlemmar som har varit aktiva sedan åtminstone 2016, troligen härrörande från det ökända Cobalt Gang. Cobalt Gang var ökänt för att rikta in sig på finansiella institutioner för att ta pengar, och ett av deras signaturverktyg var CobInt. ExCobalt antog användningen av CobInt 2022.

Många skadliga verktyg som utnyttjas i attacker mot mål

Under det senaste året har hotaktören riktat sig mot olika sektorer i Ryssland, inklusive myndigheter, informationsteknologi, metallurgi, gruvdrift, mjukvaruutveckling och telekommunikation.

Angriparna får initial tillgång till miljöer genom att utnyttja en tidigare komprometterad entreprenör och genomföra en supply chain attack, där de infekterar en komponent som används för att bygga målföretagets legitima programvara, vilket indikerar en hög nivå av sofistikering.

Deras arbetssätt involverar användning av flera verktyg, såsom Metasploit, Mimikatz , ProcDump, SMBExec och Spark RAT för att utföra kommandon på infekterade värdar, såväl som Linux-privilegieeskaleringsexploater (CVE-2019-13272, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, CVE-2021-3156, samt Linux-privilegieskaleringsexploateringsexploateringar av Linux). -2021-4034 och CVE-2022-2586).

GoRed Backdoor ger många påträngande åtgärder till hotaktörerna

GoRed, som har utvecklats genom ett flertal iterationer sedan starten, är en mångsidig bakdörr som gör det möjligt för operatörer att utföra kommandon, få referenser och samla in detaljer om aktiva processer, nätverksgränssnitt och filsystem. Den använder protokollet Remote Procedure Call (RPC) för att kommunicera med sin Command-and-Control-server (C2).

Dessutom stöder GoRed olika bakgrundskommandon för att övervaka filer av intresse och lösenord, samt möjliggöra ett omvänt skal. Den insamlade informationen exporteras sedan till angriparkontrollerad infrastruktur.

ExCobalt fortsätter att visa hög aktivitetsnivå och beslutsamhet när det gäller att rikta in sig på ryska företag, ständigt lägga till nya verktyg till sin arsenal och förfina sina tekniker. Dessutom visar ExCobalt flexibilitet och anpassningsförmåga genom att införliva modifierade standardverktyg i sin verktygsuppsättning, vilket gör att gruppen enkelt kan kringgå säkerhetskontroller och anpassa sig till förändringar i skyddsmetoder.

Infektioner med skadlig programvara bakdörr kan leda till allvarliga konsekvenser

En infektion med en bakdörr skadlig kod kan få allvarliga konsekvenser för dess offer, vilket leder till:

• Obehörig åtkomst : Bakdörrar tillåter angripare att få obehörig åtkomst till det infekterade systemet eller nätverket. Detta kan sluta med stöld av personlig information som kan inkludera personuppgifter, finansiella register, immateriell egendom eller sekretessbelagd myndighetsinformation.
• Datastöld och spionage : Angripare kan exfiltrera data från det komprometterade systemet, vilket leder till potentiella dataintrång. Denna insamlade information kan säljas på Dark Web, användas för identitetsstöld eller utnyttjas för konkurrensfördelar av rivaliserande organisationer.
• Beständig övervakning : Bakdörrar möjliggör ofta beständig övervakning genom att tillåta angripare att övervaka användaraktivitet, fånga tangenttryckningar, logga lösenord och observera nätverkstrafik. Denna övervakning kan äventyra sekretessen och integriteten för individer och organisationer.
• Systemmanipulation : Angripare kan manipulera det komprometterade systemet i skadliga syften, som att starta ytterligare attacker (t.ex. distribuera skräppost eller starta DDoS-attacker), ändra eller ta bort data eller störa viktiga tjänster.
• Skada på rykte och förtroende : Ett intrång som orsakas av bakdörr skadlig programvara kan skada en organisations rykte och urholka kundernas förtroende. Organisationer kan möta juridiska och regulatoriska återverkningar, särskilt om de inte skyddar känsliga uppgifter på ett adekvat sätt.
• Ekonomiska förluster : Saneringsinsatser, inklusive kriminaltekniska undersökningar, systemreparationer och potentiella juridiska avgifter, kan leda till betydande ekonomiska förluster för berörda organisationer. Dessutom kan stillestånd och produktivitetsförluster påverka intäkter och operativ effektivitet.
• Driftavbrott : En bakdörr skadlig programvara kan orsaka betydande driftstörningar, allt från tjänsteavbrott till äventyrad nätverksintegritet. Detta kan påverka den dagliga verksamheten och potentiellt leda till förlust av affärsmöjligheter.
• Långsiktiga kompromisser : Om de inte upptäcks eller inte åtgärdas korrekt, kan bakdörrar ständigt äventyra system, vilket tillåter angripare kontinuerlig åtkomst och kontroll. Denna långsiktiga kompromiss kan förlänga effekten och fördjupa konsekvensernas svårighetsgrad över tid.

Sammanfattningsvis utgör en infektion med bakdörr skadlig programvara allvarliga risker för offer, som omfattar ekonomiska, operativa, ryktemässiga och juridiska konsekvenser. Förebyggande åtgärder som robusta cybersäkerhetsmetoder, regelbundna revisioner och utbildning av anställda är avgörande för att mildra dessa risker och skydda mot sådana hot.