GhostContainer: O nouă vulnerabilitate atacă serverele Microsoft Exchange prin intermediul unui malware backdoor

Echipa globală de cercetare și analiză (GReAT) a Kaspersky a descoperit un nou malware backdoor numit GhostContainer, construit pe instrumente open source, un malware sofisticat care nu a mai fost descoperit până acum.

Potrivit Kaspersky, nu este încă posibil să se atribuie responsabilitatea vreunui grup de hackeri, deoarece atacatorii nu au dat niciun semn că ar penetra vreo infrastructură.

Echipa GReAT a descoperit malware-ul în timpul eforturilor de răspuns la incidente la sistemele guvernamentale care utilizau Microsoft Exchange. Se crede că GhostContainer face parte dintr-o campanie sofisticată și persistentă de amenințări avansate persistente (APT) care vizează organizații cheie din regiunea Asiei, inclusiv companii importante de tehnologie.

Fișierul malițios descoperit de Kaspersky, numit App_Web_Container_1.dll, este de fapt un backdoor multifuncțional care poate fi extins prin descărcarea de module suplimentare de la distanță. Malware-ul profită de numeroase proiecte open source și este personalizat sofisticat pentru a evita detectarea.

Odată ce GhostContainer este instalat cu succes pe un sistem, hackerii pot obține cu ușurință controlul complet asupra serverului Exchange, de pe care pot efectua o serie de acțiuni periculoase fără știrea utilizatorului. Acest malware este deghizat ingenios într-o componentă validă a serverului și folosește numeroase tehnici de evitare a supravegherii pentru a evita detectarea de către software-ul antivirus și a ocoli sistemele de monitorizare a securității.

În plus, acest malware poate acționa ca un server intermediar (proxy) sau ca un tunel criptat (tunel), creând breșe pentru hackeri care pot pătrunde în sistemele interne sau pot fura informații sensibile. Privind acest mod de operare, experții suspectează că scopul principal al acestei campanii este cel mai probabil spionajul cibernetic.

„Analiza noastră aprofundată arată că autorii sunt foarte pricepuți în penetrarea serverelor Microsoft Exchange. Aceștia utilizează o varietate de instrumente open source pentru a penetra mediile IIS și Exchange și au dezvoltat instrumente sofisticate de spionaj bazate pe codul open source disponibil. Vom continua să monitorizăm activitățile grupului, precum și amploarea și severitatea atacurilor lor, pentru a înțelege mai bine peisajul general al amenințărilor”, a declarat Sergey Lozhkin, șeful echipei globale de cercetare și analiză (GReAT) pentru Asia Pacific, Orientul Mijlociu și Africa la Kaspersky.

GhostContainer folosește cod din mai multe proiecte open source, ceea ce îl face extrem de vulnerabil la grupările cibernetice sau la campaniile APT oriunde în lume . În special, până la sfârșitul anului 2024, un total de 14.000 de pachete malware au fost detectate în proiecte open source, în creștere cu 48% față de sfârșitul anului 2023. Această cifră arată că nivelul de risc este în creștere în domeniu.

BINH LAM

Sursă: https://www.sggp.org.vn/ghostcontainer-lo-hong-moi-tan-cong-may-chu-microsoft-exchange-thong-qua-ma-doc-backdoor-post805372.html