GoRed Backdoor

Російські організації зазнали атаки з боку групи кіберзлочинців, відомої як ExCobalt, яка використовує нещодавно виявлений бекдор під назвою GoRed на базі Golang.

ExCobalt спеціалізується на кібершпигунстві та складається з кількох членів, які діють принаймні з 2016 року, імовірно, походять із сумнозвісної банди Cobalt Gang. Cobalt Gang була сумно відома тим, що націлювалася на фінансові установи, щоб отримати гроші, і одним із їхніх фірмових інструментів був CobInt. ExCobalt перейшов на використання CobInt у 2022 році.

Численні інструменти, що завдають шкоди, які використовуються для атак на цілі

Протягом останнього року зловмисник націлився на різні сектори в Росії, включаючи уряд, інформаційні технології, металургію, гірничодобувну промисловість, розробку програмного забезпечення та телекомунікації.

Зловмисники отримують початковий доступ до середовищ, використовуючи раніше скомпрометованого підрядника та здійснюючи атаку на ланцюг поставок, де вони заражають компонент, який використовується для створення законного програмного забезпечення цільової компанії, що свідчить про високий рівень складності.

Їхній спосіб роботи передбачає використання кількох інструментів, таких як Metasploit, Mimikatz , ProcDump, SMBExec і Spark RAT для виконання команд на заражених хостах, а також експлойтів для підвищення привілеїв Linux (CVE-2019-13272, CVE-2021-3156, CVE). -2021-4034 і CVE-2022-2586).

Бекдор GoRed забезпечує численні нав’язливі дії для суб’єктів загрози

GoRed, який з моменту створення пройшов численні ітерації, є універсальним бекдором, який дозволяє операторам виконувати команди, отримувати облікові дані та збирати інформацію про активні процеси, мережеві інтерфейси та файлові системи. Він використовує протокол Remote Procedure Call (RPC) для зв’язку зі своїм сервером командування та керування (C2).

Крім того, GoRed підтримує різні фонові команди для моніторингу цікавих файлів і паролів, а також увімкнення зворотної оболонки. Потім зібрані дані експортуються в контрольовану зловмисником інфраструктуру.

ExCobalt продовжує демонструвати високий рівень активності та рішучості в націлюванні на російські компанії, постійно доповнюючи свій арсенал новими інструментами та вдосконалюючи методи. Крім того, ExCobalt демонструє гнучкість і адаптивність, включивши модифіковані стандартні утиліти в свій набір інструментів, що дозволяє групі легко обходити контроль безпеки та адаптуватися до змін у методах захисту.

Зараження зловмисним програмним забезпеченням через бекдор може призвести до тяжких наслідків

Зараження шкідливим програмним забезпеченням для бекдорів може мати серйозні наслідки для його жертв, що призведе до:

• Неавторизований доступ : бекдори дозволяють зловмисникам отримати несанкціонований доступ до зараженої системи чи мережі. Це може призвести до крадіжки особистої інформації, яка може включати персональні дані, фінансові записи, інтелектуальну власність або секретну державну інформацію.
• Крадіжка даних і шпигунство : зловмисники можуть викрадати дані зі зламаної системи, що призводить до потенційного витоку даних. Ця зібрана інформація може бути продана в темній мережі, використана для крадіжки особистих даних або використана для конкурентної переваги конкуруючими організаціями.
• Постійне спостереження : бекдори часто забезпечують постійне спостереження, дозволяючи зловмисникам відстежувати активність користувачів, фіксувати натискання клавіш, реєструвати паролі та стежити за мережевим трафіком. Таке спостереження може поставити під загрозу конфіденційність і конфіденційність окремих осіб і організацій.
• Маніпуляції системою : зловмисники можуть маніпулювати скомпрометованою системою для шкідливих цілей, таких як запуск подальших атак (наприклад, розповсюдження спаму чи запуск DDoS-атак), зміна чи видалення даних або порушення критичних служб.
• Шкода репутації та довірі : взлом, спричинений бекдор-зловмисним програмним забезпеченням, може завдати шкоди репутації організації та підірвати довіру клієнтів. Організації можуть зіткнутися з юридичними та регуляторними наслідками, особливо якщо вони не захищають належним чином конфіденційні дані.
• Фінансові збитки : зусилля з усунення несправностей, включаючи судово-медичні дослідження, ремонт системи та потенційні судові витрати, можуть призвести до значних фінансових втрат для постраждалих організацій. Крім того, простої та зниження продуктивності можуть вплинути на дохід і ефективність роботи.
• Збої в роботі : бекдорне зловмисне програмне забезпечення може спричинити значні перебої в роботі, починаючи від перебоїв у роботі сервісів і закінчуючи порушенням цілісності мережі. Це може вплинути на щоденні операції та потенційно призвести до втрати можливостей для бізнесу.
• Довгострокові компрометації : якщо бекдори не виявлені або не усунені належним чином, вони можуть постійно компрометувати системи, надаючи зловмисникам постійний доступ і контроль. Цей довгостроковий компроміс може збільшити вплив і поглибити тяжкість наслідків з часом.

Підсумовуючи, зараження бекдор-шкідливим програмним забезпеченням створює серйозні ризики для жертв, включаючи фінансові, операційні, репутаційні та юридичні наслідки. Профілактичні заходи, такі як надійні практики кібербезпеки, регулярні аудити та навчання співробітників, мають вирішальне значення для пом’якшення цих ризиків і захисту від таких загроз.