Skadevare skjult i Microsoft Exchange: Sofistikert cyberspionasje oppdaget

(NLDO) – Kasperskys globale forsknings- og analyseteam har nettopp oppdaget GhostContainer – en ny, sofistikert og aldri før sett bakdørsskadevare.

Ifølge Global Research and Analysis Team (GReAT) ble GhostContainer-skadevaren installert i systemer som bruker Microsoft Exchange, som en del av en langsiktig, avansert APT-kampanje (persistent threat) rettet mot viktige organisasjoner i Asia-regionen, inkludert store teknologiselskaper.

GhostContainer, skjult i en fil kalt App_Web_Container_1.dll, er faktisk en flerbruks bakdør. Den er i stand til å utvide funksjonaliteten ved å laste inn ekstra eksterne moduler og er basert på en rekke verktøy med åpen kildekode. Skadevaren forkler seg som en legitim komponent i vertssystemet, ved å bruke sofistikerte unnvikelsesteknikker for å omgå sikkerhetsprogramvare og overvåkingssystemer.

Når GhostContainer er inne i systemet, lar den angripere ta kontroll over Exchange-servere. Den kan fungere som en proxy eller en kryptert tunnel, slik at de kan trenge dypere inn i det interne nettverket eller stjele sensitive data uten å bli oppdaget. Disse handlingene har ført til at eksperter mistenker at kampanjen tjener cyberspionasjeformål.

Sergey Lozhkin, leder for Kasperskys GReAT Asia Pacific og Midtøsten-Afrika-team, sa at gruppen bak GhostContainer har svært god kunnskap om Exchange- og IIS-servermiljøer. De bruker åpen kildekode for å utvikle sofistikerte angrepsverktøy samtidig som de unngår åpenbare spor, noe som gjør det svært vanskelig å spore opprinnelsen.

Det er for øyeblikket uklart hvilken gruppe som står bak denne kampanjen, ettersom skadevaren bruker kode fra flere åpen kildekode-prosjekter – noe som betyr at den sannsynligvis vil bli mye brukt av ulike nettkriminelle grupper rundt om i verden. Det er verdt å merke seg at ifølge statistikk ble omtrent 14 000 skadevarepakker oppdaget i åpen kildekode-prosjekter innen utgangen av 2024, en økning på 48 % sammenlignet med utgangen av 2023 – noe som viser at sikkerhetsrisikoer fra åpen kildekode blir stadig mer alvorlige.

For å redusere risikoen for å bli offer for målrettede cyberangrep, bør bedrifter utstyre sikkerhetsteamene sine med tilgang til oppdaterte trusselinformasjonskilder, ifølge Kaspersky.

Det er viktig å heve kompetansen til cybersikkerhetsteam for å øke deres evne til å oppdage og reagere på sofistikerte angrep. Bedrifter bør også ta i bruk løsninger for endepunktdeteksjon og feilsøking, kombinert med verktøy for overvåking og beskyttelse på nettverksnivå.

I tillegg, siden mange angrep starter med phishing-e-poster eller andre former for psykologisk bedrag, må organisasjoner regelmessig tilby sikkerhetsbevissthetsopplæring til ansatte. En koordinert investering i teknologi, mennesker og prosesser er nøkkelen til å hjelpe bedrifter med å styrke forsvaret mot stadig mer komplekse trusler.

Kilde: https://nld.com.vn/ma-doc-an-minh-trong-microsoft-exchange-phat-hien-gian-diep-mang-tinh-vi-196250724165422125.htm