GhostContainer: Kerentanan baharu menyerang pelayan Microsoft Exchange melalui perisian hasad pintu belakang.

Pasukan Penyelidikan dan Analisis Global Kaspersky (GReAT) baru sahaja menemui perisian hasad pintu belakang baharu yang dipanggil GhostContainer, yang dibina di atas alatan sumber terbuka, iaitu sejenis perisian hasad canggih yang tidak pernah dikesan sebelum ini.

Menurut Kaspersky, pada masa ini mustahil untuk menetapkan tanggungjawab kepada mana-mana kumpulan penggodam tertentu kerana penyerang tidak meninggalkan sebarang tanda penyusupan ke dalam infrastruktur.

Pasukan GReAT menemui perisian hasad ini semasa tindak balas insiden terhadap sistem kerajaan menggunakan Microsoft Exchange. GhostContainer dipercayai merupakan sebahagian daripada kempen serangan ancaman berterusan (APT) canggih dan berterusan yang menyasarkan organisasi kritikal di Asia, termasuk syarikat teknologi utama.

Fail berniat jahat yang ditemui oleh Kaspersky, bernama App_Web_Container_1.dll, sebenarnya merupakan pintu belakang pelbagai fungsi yang boleh dikembangkan dan disesuaikan dengan memuatkan modul tambahan dari jauh. Perisian hasad ini memanfaatkan pelbagai projek sumber terbuka dan disesuaikan secara canggih untuk mengelakkan pengesanan.

Sebaik sahaja GhostContainer berjaya dipasang pada sistem, penggodam boleh dengan mudah mendapatkan kawalan penuh ke atas pelayan Exchange, sekali gus menjalankan beberapa tindakan berbahaya tanpa pengetahuan pengguna. Perisian hasad ini secara bijak menyamar sebagai komponen pelayan yang sah dan menggunakan pelbagai teknik untuk mengelak daripada pemantauan bagi mengelakkan pengesanan oleh perisian antivirus dan memintas sistem pemantauan keselamatan.

Tambahan pula, perisian hasad ini boleh berfungsi sebagai pelayan proksi atau terowong yang disulitkan, mewujudkan kelemahan yang membolehkan penggodam menyusup masuk ke sistem dalaman atau mencuri maklumat sensitif. Melihat modus operandi ini, pakar mengesyaki tujuan utama kempen ini kemungkinan besar adalah pengintipan siber.

Sergey Lozhkin, Ketua Pasukan Penyelidikan dan Analisis Global (GReAT) untuk rantau Asia Pasifik dan Timur Tengah-Afrika di Kaspersky, menyatakan: “Analisis mendalam kami mendedahkan bahawa pelaku sangat mahir dalam menyusup masuk ke pelayan Microsoft Exchange. Mereka memanfaatkan pelbagai alat sumber terbuka untuk menembusi persekitaran IIS dan Exchange, dan membangunkan alat pengintipan yang canggih berdasarkan kod sumber terbuka yang sedia ada. Kami akan terus memantau aktiviti kumpulan itu, serta skop dan tahap keterukan serangan, untuk lebih memahami gambaran ancaman keseluruhan.”

GhostContainer menggunakan kod daripada pelbagai projek sumber terbuka, menjadikannya sangat terdedah kepada eksploitasi oleh kumpulan jenayah siber atau kempen APT di mana-mana sahaja di dunia . Terutamanya, menjelang akhir tahun 2024, sejumlah 14,000 pakej perisian hasad telah dikesan dalam projek sumber terbuka, peningkatan sebanyak 48% berbanding akhir tahun 2023. Angka ini menunjukkan peningkatan tahap risiko dalam bidang ini.

BINH LAM

Sumber: https://www.sggp.org.vn/ghostcontainer-lo-hong-moi-tan-cong-may-chu-microsoft-exchange-thong-qua-ma-doc-backdoor-post805372.html