GhostContainer: una nuova vulnerabilità attacca i server Microsoft Exchange tramite un malware backdoor.

Il Global Research and Analysis Team (GReAT) di Kaspersky ha appena scoperto un nuovo malware backdoor chiamato GhostContainer, basato su strumenti open-source, che rappresenta una tipologia di malware sofisticata mai rilevata prima.

Secondo Kaspersky, al momento è impossibile attribuire la responsabilità a un gruppo di hacker specifico, poiché gli aggressori non hanno lasciato alcuna traccia di infiltrazione nell'infrastruttura.

Il team GReAT ha scoperto questo malware durante un intervento di risposta a un incidente sui sistemi governativi che utilizzano Microsoft Exchange. Si ritiene che GhostContainer faccia parte di una sofisticata e prolungata campagna di attacchi APT (Advanced Persistent Threat) mirata a organizzazioni critiche in Asia, tra cui importanti aziende tecnologiche.

Il file dannoso scoperto da Kaspersky, denominato App_Web_Container_1.dll, è in realtà una backdoor multifunzionale che può essere espansa e personalizzata caricando da remoto moduli aggiuntivi. Questo malware sfrutta numerosi progetti open source ed è sofisticato nella personalizzazione per eludere il rilevamento.

Una volta installato con successo GhostContainer sul sistema, gli hacker possono facilmente ottenere il controllo completo del server Exchange, eseguendo così una serie di azioni pericolose all'insaputa dell'utente. Questo malware si camuffa abilmente da componente legittimo del server e utilizza diverse tecniche per eludere il monitoraggio, evitare di essere rilevato dai software antivirus e aggirare i sistemi di sicurezza.

Inoltre, questo malware può funzionare come server proxy o tunnel crittografato, creando vulnerabilità che consentono agli hacker di infiltrarsi nei sistemi interni o rubare informazioni sensibili. Considerando questo modus operandi, gli esperti sospettano che lo scopo principale di questa campagna sia molto probabilmente lo spionaggio informatico.

Sergey Lozhkin, responsabile del Global Research and Analysis Team (GReAT) per l'area Asia-Pacifico e Medio Oriente-Africa di Kaspersky, ha dichiarato: "La nostra analisi approfondita rivela che i responsabili sono estremamente abili nell'infiltrarsi nei server Microsoft Exchange. Sfruttano numerosi strumenti open source per penetrare negli ambienti IIS ed Exchange e sviluppano sofisticati strumenti di spionaggio basati su codice open source facilmente reperibile. Continueremo a monitorare le attività del gruppo, nonché la portata e la gravità degli attacchi, per comprendere meglio il quadro generale della minaccia."

GhostContainer utilizza codice proveniente da numerosi progetti open source, il che lo rende altamente vulnerabile allo sfruttamento da parte di gruppi criminali informatici o campagne APT in qualsiasi parte del mondo . In particolare, alla fine del 2024, erano stati rilevati un totale di 14.000 pacchetti malware in progetti open source, con un aumento del 48% rispetto alla fine del 2023. Questa cifra dimostra il crescente livello di rischio in questo ambito.

LAM BINH

Fonte: https://www.sggp.org.vn/ghostcontainer-lo-hong-moi-tan-cong-may-chu-microsoft-exchange-thong-qua-ma-doc-backdoor-post805372.html