GhostContainer: Ny sårbarhet angriper Microsoft Exchange-servere via bakdørsskadevare

Kasperskys globale forsknings- og analyseteam (GReAT) har oppdaget en ny bakdørsskadevare kalt GhostContainer, bygget på verktøy med åpen kildekode, en sofistikert skadevare som aldri har blitt oppdaget før.

Ifølge Kaspersky er det foreløpig ikke mulig å plassere ansvaret på noen hackergruppe fordi angriperne ikke viste noen tegn til å trenge inn i noen infrastruktur.

GReAT-teamet oppdaget skadevaren under hendelsesresponsoperasjoner på offentlige systemer som bruker Microsoft Exchange. GhostContainer antas å være en del av en sofistikert og vedvarende avansert APT-kampanje (Advanced Persistent Threat) rettet mot viktige organisasjoner i Asia-regionen, inkludert store teknologiselskaper.

Den skadelige filen som ble oppdaget av Kaspersky, kalt App_Web_Container_1.dll, er faktisk en multifunksjonell bakdør som kan utvides ved å laste ned tilleggsmoduler eksternt. Skadevaren utnytter mange åpen kildekode-prosjekter og er sofistikert tilpasset for å unngå oppdagelse.

Når GhostContainer er installert på et system, kan hackere enkelt ta full kontroll over Exchange-serveren, hvorfra de kan utføre en rekke farlige handlinger uten at brukeren vet det. Denne skadelige programvaren er smart kamuflert som en gyldig komponent på serveren og bruker mange overvåkingsteknikker for å unngå å bli oppdaget av antivirusprogramvare og omgå sikkerhetsovervåkingssystemer.

I tillegg kan denne skadelige programvaren fungere som en proxy-server eller en kryptert tunnel, og skape smutthull der hackere kan trenge inn i interne systemer eller stjele sensitiv informasjon. Når man ser på denne måten, mistenker eksperter at hovedformålet med denne kampanjen sannsynligvis er cyberspionasje.

«Vår grundige analyse viser at gjerningsmennene er svært dyktige i å trenge inn i Microsoft Exchange-serversystemer. De bruker en rekke verktøy med åpen kildekode for å trenge inn i IIS- og Exchange- miljøer, og utvikler sofistikerte spionverktøy basert på tilgjengelig åpen kildekode. Vi vil fortsette å overvåke gruppens aktiviteter, samt omfanget og alvorlighetsgraden av angrepene deres, for å bedre forstå det samlede trusselbildet», sa Sergey Lozhkin, leder for det globale forsknings- og analyseteamet (GReAT) for Asia Pacific og Midtøsten og Afrika hos Kaspersky.

GhostContainer bruker kode fra flere åpen kildekode-prosjekter, noe som gjør den fullstendig sårbar for nettkriminelle grupper eller APT-kampanjer hvor som helst i verden . Det er verdt å merke seg at innen utgangen av 2024 ble totalt 14 000 skadevarepakker oppdaget i åpen kildekode-prosjekter, en økning på 48 % fra utgangen av 2023. Dette tallet viser at risikonivået øker i feltet.

BINH LAM

Kilde: https://www.sggp.org.vn/ghostcontainer-lo-hong-moi-tan-cong-may-chu-microsoft-exchange-thong-qua-ma-doc-backdoor-post805372.html