GhostContainer: Νέα ευπάθεια επιτίθεται σε διακομιστές Microsoft Exchange μέσω κακόβουλου λογισμικού backdoor

Η Παγκόσμια Ομάδα Έρευνας και Ανάλυσης (GReAT) της Kaspersky ανακάλυψε ένα νέο κακόβουλο λογισμικό backdoor που ονομάζεται GhostContainer, το οποίο βασίζεται σε εργαλεία ανοιχτού κώδικα, ένα εξελιγμένο κακόβουλο λογισμικό που δεν έχει ανακαλυφθεί ποτέ πριν.

Σύμφωνα με την Kaspersky, δεν είναι ακόμη δυνατό να αποδοθεί η ευθύνη σε κάποια ομάδα χάκερ, επειδή οι επιτιθέμενοι δεν έδειξαν κανένα σημάδι διείσδυσης σε κάποια υποδομή.

Η ομάδα GReAT ανακάλυψε το κακόβουλο λογισμικό κατά τη διάρκεια επιχειρήσεων αντιμετώπισης περιστατικών σε κυβερνητικά συστήματα που χρησιμοποιούν το Microsoft Exchange. Το GhostContainer πιστεύεται ότι αποτελεί μέρος μιας εξελιγμένης και επίμονης εκστρατείας προηγμένων μόνιμων απειλών (APT) που στοχεύει βασικούς οργανισμούς στην περιοχή της Ασίας, συμπεριλαμβανομένων μεγάλων εταιρειών τεχνολογίας.

Το κακόβουλο αρχείο που ανακάλυψε η Kaspersky, με την ονομασία App_Web_Container_1.dll, είναι στην πραγματικότητα ένα πολυλειτουργικό backdoor που μπορεί να επεκταθεί με την απομακρυσμένη λήψη πρόσθετων modules. Το κακόβουλο λογισμικό εκμεταλλεύεται πολλά έργα ανοιχτού κώδικα και είναι εξελιγμένα προσαρμοσμένο για να αποφεύγει την ανίχνευση.

Μόλις το GhostContainer εγκατασταθεί με επιτυχία σε ένα σύστημα, οι χάκερ μπορούν εύκολα να αναλάβουν τον πλήρη έλεγχο του Exchange server, από τον οποίο μπορούν να εκτελέσουν μια σειρά από επικίνδυνες ενέργειες χωρίς να το γνωρίζει ο χρήστης. Αυτό το κακόβουλο λογισμικό είναι έξυπνα μεταμφιεσμένο ως έγκυρο στοιχείο του server και χρησιμοποιεί πολλές τεχνικές αποφυγής επιτήρησης για να αποφύγει την ανίχνευση από λογισμικό προστασίας από ιούς και να παρακάμψει τα συστήματα παρακολούθησης ασφαλείας.

Επιπλέον, αυτό το κακόβουλο λογισμικό μπορεί να λειτουργήσει ως διακομιστής μεσολάβησης ή ως κρυπτογραφημένη σήραγγα, δημιουργώντας κενά για τους χάκερ ώστε να διεισδύσουν σε εσωτερικά συστήματα ή να κλέψουν ευαίσθητες πληροφορίες. Εξετάζοντας αυτόν τον τρόπο λειτουργίας, οι ειδικοί υποψιάζονται ότι ο κύριος σκοπός αυτής της εκστρατείας είναι πιθανό να είναι η κυβερνοκατασκοπεία.

«Η εις βάθος ανάλυσή μας δείχνει ότι οι δράστες είναι εξαιρετικά ικανοί στη διείσδυση σε συστήματα διακομιστών Microsoft Exchange. Αξιοποιούν μια ποικιλία εργαλείων ανοιχτού κώδικα για να διεισδύσουν σε περιβάλλοντα IIS και Exchange και αναπτύσσουν εξελιγμένα εργαλεία κατασκοπείας με βάση τον διαθέσιμο κώδικα ανοιχτού κώδικα. Θα συνεχίσουμε να παρακολουθούμε τις δραστηριότητες της ομάδας, καθώς και το εύρος και τη σοβαρότητα των επιθέσεών τους, για να κατανοήσουμε καλύτερα τη συνολική εικόνα των απειλών», δήλωσε ο Sergey Lozhkin, Επικεφαλής της Παγκόσμιας Ομάδας Έρευνας και Ανάλυσης (GReAT) για την Ασία-Ειρηνικό, τη Μέση Ανατολή και την Αφρική στην Kaspersky.

Το GhostContainer χρησιμοποιεί κώδικα από πολλά έργα ανοιχτού κώδικα, γεγονός που το καθιστά πλήρως ευάλωτο σε ομάδες κυβερνοεγκληματιών ή εκστρατείες APT οπουδήποτε στον κόσμο . Αξίζει να σημειωθεί ότι μέχρι το τέλος του 2024, εντοπίστηκαν συνολικά 14.000 πακέτα κακόβουλου λογισμικού σε έργα ανοιχτού κώδικα, σημειώνοντας αύξηση 48% από το τέλος του 2023. Αυτός ο αριθμός δείχνει ότι το επίπεδο κινδύνου αυξάνεται στον τομέα.

ΜΠΙΝΧ ΛΑΜ

Πηγή: https://www.sggp.org.vn/ghostcontainer-lo-hong-moi-tan-cong-may-chu-microsoft-exchange-thong-qua-ma-doc-backdoor-post805372.html