GhostContainer: Nowa luka w zabezpieczeniach atakuje serwery Microsoft Exchange za pośrednictwem złośliwego oprogramowania typu backdoor

Globalny zespół ds. badań i analiz (GReAT) firmy Kaspersky odkrył nowy rodzaj złośliwego oprogramowania typu backdoor o nazwie GhostContainer, zbudowany z wykorzystaniem narzędzi open source. Jest to wyrafinowane złośliwe oprogramowanie, którego nigdy wcześniej nie odkryto.

Według firmy Kaspersky nie można jeszcze jednoznacznie przypisać odpowiedzialności za ten atak żadnej grupie hakerów, ponieważ atakujący nie wykazali żadnych oznak włamania się do jakiejkolwiek infrastruktury.

Zespół GReAT odkrył złośliwe oprogramowanie podczas operacji reagowania na incydenty w systemach rządowych korzystających z Microsoft Exchange. Uważa się, że GhostContainer jest częścią zaawansowanej i uporczywej kampanii APT (Advanced Persistent Threat) skierowanej przeciwko kluczowym organizacjom w regionie Azji, w tym dużym firmom technologicznym.

Złośliwy plik odkryty przez firmę Kaspersky, o nazwie App_Web_Container_1.dll, to w rzeczywistości wielofunkcyjny backdoor, który można rozszerzyć, zdalnie pobierając dodatkowe moduły. Szkodliwe oprogramowanie wykorzystuje wiele projektów open source i jest starannie dostosowane, aby uniknąć wykrycia.

Po pomyślnej instalacji GhostContainer w systemie hakerzy mogą z łatwością przejąć pełną kontrolę nad serwerem Exchange, z którego mogą wykonywać szereg niebezpiecznych działań bez wiedzy użytkownika. To złośliwe oprogramowanie sprytnie podszywa się pod prawidłowy komponent serwera i wykorzystuje wiele technik unikania nadzoru, aby uniknąć wykrycia przez oprogramowanie antywirusowe i ominąć systemy monitorowania bezpieczeństwa.

Ponadto, to złośliwe oprogramowanie może działać jako serwer proxy lub szyfrowany tunel, tworząc luki umożliwiające hakerom penetrację systemów wewnętrznych lub kradzież poufnych informacji. Biorąc pod uwagę ten sposób działania, eksperci podejrzewają, że głównym celem tej kampanii jest prawdopodobnie cyberszpiegostwo.

„Nasza dogłębna analiza pokazuje, że sprawcy posiadają wysokie umiejętności w penetrowaniu systemów serwerowych Microsoft Exchange. Wykorzystują różnorodne narzędzia open source do penetracji środowisk IIS i Exchange oraz opracowują zaawansowane narzędzia szpiegowskie oparte na dostępnym kodzie open source. Będziemy nadal monitorować działania grupy, a także zakres i skalę jej ataków, aby lepiej zrozumieć ogólny obraz zagrożeń” – powiedział Siergiej Łożkin, szef Globalnego Zespołu ds. Badań i Analiz (GReAT) na region Azji i Pacyfiku oraz Bliskiego Wschodu i Afryki w firmie Kaspersky.

GhostContainer wykorzystuje kod z wielu projektów open source, co czyni go w pełni podatnym na ataki grup cyberprzestępczych lub kampanii APT na całym świecie . Warto zauważyć, że do końca 2024 roku wykryto łącznie 14 000 pakietów złośliwego oprogramowania w projektach open source, co stanowi wzrost o 48% w porównaniu z końcem 2023 roku. Liczba ta pokazuje, że poziom ryzyka w tej dziedzinie rośnie.

BINH LAM

Źródło: https://www.sggp.org.vn/ghostcontainer-lo-hong-moi-tan-cong-may-chu-microsoft-exchange-thong-qua-ma-doc-backdoor-post805372.html