GhostContainer: Ny sårbarhet attackerar Microsoft Exchange-servrar via bakdörrsvirus

Enligt Kaspersky är det ännu inte möjligt att lägga ansvaret på någon hackergrupp eftersom angriparna inte visade några tecken på att penetrera någon infrastruktur.

GReAT-teamet upptäckte skadlig programvara under incidenter på myndighetssystem som använder Microsoft Exchange. GhostContainer tros vara en del av en sofistikerad och ihållande avancerad APT-kampanj (Advanced Persistent Threat) som riktar sig mot viktiga organisationer i Asien, inklusive stora teknikföretag.

Den skadliga filen som upptäcktes av Kaspersky, kallad App_Web_Container_1.dll, är i själva verket en multifunktionell bakdörr som kan utökas genom att ladda ner ytterligare moduler på distans. Skadlig programvara utnyttjar många projekt med öppen källkod och är sofistikerat anpassad för att undvika upptäckt.

Kaspersky foto 1 - GhostContainer upptäckte att Kaspersky identifierar en ny bakdörr som riktar sig mot Microsoft Exchange-servrar.jpg

När GhostContainer väl har installerats på ett system kan hackare enkelt ta fullständig kontroll över Exchange-servern, varifrån de kan utföra en rad farliga åtgärder utan att användaren vet om det. Denna skadliga programvara är smart förklädd till en giltig komponent på servern och använder många övervakningstekniker för att undvika upptäckt av antivirusprogram och kringgå säkerhetsövervakningssystem.

Dessutom kan denna skadliga kod fungera som en proxyserver eller en krypterad tunnel, vilket skapar kryphål för hackare att penetrera interna system eller stjäla känslig information. Med tanke på detta arbetssätt misstänker experter att huvudsyftet med denna kampanj sannolikt är cyberspionage.

”Vår djupgående analys visar att förövarna är mycket skickliga på att penetrera Microsoft Exchange-serversystem. De använder en mängd olika verktyg med öppen källkod för att penetrera IIS- och Exchange- miljöer och utvecklar sofistikerade spionverktyg baserade på tillgänglig öppen källkod. Vi kommer att fortsätta övervaka gruppens aktiviteter, såväl som omfattningen och svårighetsgraden av deras attacker, för att bättre förstå den övergripande hotbilden”, säger Sergey Lozhkin, chef för Global Research and Analysis Team (GReAT) för Asien och Stillahavsområdet samt Mellanöstern och Afrika på Kaspersky.

GhostContainer använder kod från flera projekt med öppen källkod, vilket gör det fullt sårbart för cyberkriminella grupper eller APT-kampanjer var som helst i världen . Det är värt att notera att totalt 14 000 skadliga programpaket upptäcktes i projekt med öppen källkod i slutet av 2024, en ökning med 48 % jämfört med slutet av 2023. Denna siffra visar att risknivån ökar inom området.

BINH LAM

Källa: https://www.sggp.org.vn/ghostcontainer-lo-hong-moi-tan-cong-may-chu-microsoft-exchange-thong-qua-ma-doc-backdoor-post805372.html