Skadevare som gjemmer seg i Microsoft Exchange: Sofistikert cyberspionasje avdekket

(NLDO) – Kasperskys globale forsknings- og analyseteam har nettopp oppdaget GhostContainer – en ny, sofistikert og aldri før sett bakdørsskadevare.

Ifølge Global Research and Analysis Team (GReAT) ble GhostContainer-skadevaren installert i systemer som bruker Microsoft Exchange, som en del av en langsiktig, avansert APT-kampanje (persistent threat) rettet mot viktige organisasjoner i Asia-regionen, inkludert store teknologiselskaper.

GhostContainer, skjult i en fil kalt App_Web_Container_1.dll, er faktisk en flerbruks bakdør. Den er i stand til å utvide funksjonaliteten ved å laste inn ekstra eksterne moduler og er basert på en rekke verktøy med åpen kildekode. Skadevaren forkler seg som en legitim komponent i vertssystemet, ved å bruke sofistikerte unnvikelsesteknikker for å omgå sikkerhetsprogramvare og overvåkingssystemer.

Når GhostContainer er inne i et system, lar det angripere ta kontroll over Exchange-serveren. Den kan fungere som en proxy eller en kryptert tunnel, noe som tillater dypere penetrasjon i det interne nettverket eller tyveri av sensitive data uten å bli oppdaget. Disse handlingene har ført til at eksperter mistenker at kampanjen tjener cyberspionasjeformål.

Sergey Lozhkin, leder for Kasperskys GReAT Asia- Pacific og Midtøsten-Afrika, sa at gruppen bak GhostContainer har stor kunnskap om Exchange- og IIS-servermiljøer. De bruker åpen kildekode for å utvikle sofistikerte angrepsverktøy samtidig som de unngår åpenbare spor, noe som gjør det svært vanskelig å spore kilden.

Det er ennå ikke mulig å fastslå hvilken gruppe som står bak denne kampanjen, ettersom skadevaren bruker kode fra mange åpen kildekode-prosjekter – noe som betyr at den sannsynligvis vil bli utnyttet i stor grad av mange forskjellige nettkriminelle grupper rundt om i verden. Det er verdt å merke seg at ifølge statistikk ble omtrent 14 000 skadevarepakker oppdaget i åpen kildekode-prosjekter innen utgangen av 2024, en økning på 48 % sammenlignet med utgangen av 2023 – noe som viser at sikkerhetsrisikoene fra åpen kildekode blir stadig mer alvorlige.

For å redusere risikoen for å bli offer for målrettede cyberangrep, bør bedrifter utstyre sikkerhetsteamene sine med tilgang til oppdaterte trusselinformasjonsressurser, ifølge Kaspersky.

Det er viktig å heve kompetansen til cybersikkerhetsteam for å øke deres evne til å oppdage og reagere på sofistikerte angrep. Bedrifter bør også ta i bruk løsninger for endepunktdeteksjon og feilsøking, kombinert med verktøy for overvåking og beskyttelse på nettverksnivå.

I tillegg, siden mange angrep starter med phishing-e-poster eller andre former for psykologisk bedrag, må organisasjoner tilby regelmessig opplæring i sikkerhetsbevissthet til ansatte. Investering i teknologi, mennesker og prosesser på tvers av linjen er nøkkelen til å hjelpe bedrifter med å styrke forsvaret mot stadig mer sofistikerte trusler.

Kilde: https://nld.com.vn/ma-doc-an-minh-trong-microsoft-exchange-phat-hien-gian-diep-mang-tinh-vi-196250724165422125.htm