GhostContainer: Nueva vulnerabilidad ataca servidores Microsoft Exchange mediante malware de puerta trasera

El Equipo de Análisis e Investigación Global de Kaspersky (GReAT) ha descubierto un nuevo malware de puerta trasera llamado GhostContainer, creado con herramientas de código abierto, un malware sofisticado que nunca antes se había descubierto.

Según Kaspersky, todavía no es posible atribuir la responsabilidad a ningún grupo de hackers porque los atacantes no mostraron signos de haber penetrado ninguna infraestructura.

El equipo de GReAT descubrió el malware durante operaciones de respuesta a incidentes en sistemas gubernamentales que utilizan Microsoft Exchange. Se cree que GhostContainer forma parte de una sofisticada y persistente campaña de amenazas persistentes avanzadas (APT) dirigida a organizaciones clave de la región asiática, incluidas importantes empresas tecnológicas.

El archivo malicioso descubierto por Kaspersky, llamado App_Web_Container_1.dll, es en realidad una puerta trasera multifuncional que puede ampliarse mediante la descarga remota de módulos adicionales. El malware se aprovecha de numerosos proyectos de código abierto y está sofisticadamente personalizado para evitar su detección.

Una vez instalado GhostContainer en un sistema, los hackers pueden tomar fácilmente el control total del servidor Exchange, desde donde pueden realizar diversas acciones peligrosas sin que el usuario lo sepa. Este malware se disfraza astutamente como un componente válido del servidor y utiliza diversas técnicas de evasión de vigilancia para evitar ser detectado por el software antivirus y eludir los sistemas de monitorización de seguridad.

Además, este malware puede actuar como un servidor proxy o un túnel cifrado, creando vulnerabilidades que permiten a los hackers penetrar en sistemas internos o robar información confidencial. Al observar este modo de operación, los expertos sospechan que el objetivo principal de esta campaña probablemente sea el ciberespionaje.

Nuestro análisis exhaustivo demuestra que los autores son muy hábiles para penetrar en los sistemas de servidores Microsoft Exchange. Utilizan diversas herramientas de código abierto para penetrar en entornos IIS y Exchange , y desarrollan sofisticadas herramientas de espionaje basadas en código abierto disponible. Seguiremos monitoreando las actividades del grupo, así como el alcance y la gravedad de sus ataques, para comprender mejor el panorama general de las amenazas, declaró Sergey Lozhkin, director del Equipo Global de Investigación y Análisis (GReAT) para Asia Pacífico, Oriente Medio y África de Kaspersky.

GhostContainer utiliza código de múltiples proyectos de código abierto, lo que lo hace totalmente vulnerable a grupos cibercriminales o campañas APT en cualquier parte del mundo . Cabe destacar que, a finales de 2024, se detectaron un total de 14 000 paquetes de malware en proyectos de código abierto, un 48 % más que a finales de 2023. Esta cifra demuestra que el nivel de riesgo está aumentando en este campo.

BINH LAM

Fuente: https://www.sggp.org.vn/ghostcontainer-lo-hong-moi-tan-cong-may-chu-microsoft-exchange-thong-qua-ma-doc-backdoor-post805372.html