GhostContainer: Yeni güvenlik açığı, arka kapı kötü amaçlı yazılımı aracılığıyla Microsoft Exchange sunucularına saldırıyor

Kaspersky'ye göre, saldırganların herhangi bir altyapıya sızma belirtisi göstermemesi nedeniyle henüz herhangi bir hacker grubuna sorumluluk yüklemek mümkün değil.

GReAT ekibi, kötü amaçlı yazılımı Microsoft Exchange kullanan devlet sistemlerindeki olay müdahale operasyonları sırasında keşfetti. GhostContainer'ın, aralarında büyük teknoloji şirketlerinin de bulunduğu Asya bölgesindeki önemli kuruluşları hedef alan, karmaşık ve kalıcı bir gelişmiş kalıcı tehdit (APT) kampanyasının parçası olduğuna inanılıyor.

Kaspersky tarafından keşfedilen App_Web_Container_1.dll adlı kötü amaçlı dosya, aslında uzaktan ek modüller indirilerek genişletilebilen çok işlevli bir arka kapıdır. Kötü amaçlı yazılım, birçok açık kaynaklı projeden faydalanır ve tespit edilmekten kaçınmak için özel olarak özelleştirilmiştir.

Kaspersky fotoğrafı 1 - GhostContainer, Kaspersky'nin Microsoft Exchange sunucularını hedef alan yeni bir arka kapı tespit ettiğini keşfetti.jpg

GhostContainer bir sisteme başarıyla yüklendikten sonra, bilgisayar korsanları Exchange sunucusunun kontrolünü kolayca ele geçirebilir ve kullanıcının haberi olmadan bir dizi tehlikeli eylem gerçekleştirebilirler. Bu kötü amaçlı yazılım, sunucunun geçerli bir bileşeni gibi ustaca gizlenir ve antivirüs yazılımları tarafından tespit edilmekten ve güvenlik izleme sistemlerini atlatmaktan kaçınmak için birçok gözetimden kaçınma tekniği kullanır.

Ayrıca, bu kötü amaçlı yazılım bir proxy sunucusu veya şifreli bir tünel gibi davranarak, bilgisayar korsanlarının dahili sistemlere sızması veya hassas bilgileri çalması için açık kapılar yaratabilir. Uzmanlar, bu çalışma şekline bakarak, bu kampanyanın asıl amacının siber casusluk olabileceğini düşünüyor.

Kaspersky Asya Pasifik, Orta Doğu ve Afrika Küresel Araştırma ve Analiz Ekibi (GReAT) Başkanı Sergey Lozhkin, "Derinlemesine analizimiz, saldırganların Microsoft Exchange sunucu sistemlerine sızma konusunda oldukça yetenekli olduğunu gösteriyor. IIS ve Exchange ortamlarına sızmak için çeşitli açık kaynaklı araçlardan yararlanıyorlar ve mevcut açık kaynak kodlarını temel alan gelişmiş casusluk araçları geliştiriyorlar. Genel tehdit tablosunu daha iyi anlamak için grubun faaliyetlerini, saldırılarının kapsamını ve ciddiyetini izlemeye devam edeceğiz," dedi.

GhostContainer, birden fazla açık kaynaklı projeden kod kullandığından, dünyanın herhangi bir yerindeki siber suç gruplarına veya APT saldırılarına karşı tamamen savunmasızdır. 2024 yılı sonuna kadar, açık kaynaklı projelerde toplam 14.000 kötü amaçlı yazılım paketi tespit edildi; bu sayı, 2023 yılı sonuna göre %48 artış gösterdi. Bu sayı, sahadaki risk seviyesinin arttığını gösteriyor.

BINH LAM

Kaynak: https://www.sggp.org.vn/ghostcontainer-lo-hong-moi-tan-cong-may-chu-microsoft-exchange-thong-qua-ma-doc-backdoor-post805372.html