Giddome Backdoor mit russischem Threat Actor verbunden

Sicherheitsforscher von Symantec haben kürzlich einen Bericht über neue Aktivitäten russischer Bedrohungsakteure veröffentlicht, die auf ukrainische Ziele abzielen.

Der Bedrohungsakteur ist unter mehreren Decknamen bekannt, darunter Gamaredon und Shuckworm.

Die Forscher identifizierten mehrere verschiedene ausführbare Dateien als Varianten der Giddome-Hintertür – ein Tool, das mit Shuckworm in Verbindung gebracht wird. Alle Dateien hatten die Zeichenfolge "ntuser" am Anfang ihres Namens. Die Dateierweiterungen waren .VCD und .H264, wobei die eine ein Disk-Image-Dateiformat und die andere ein Videodateiformat war.

Das Disk-Image und die Videodatei hatten ausführbare untergeordnete Prozessdateien mit denselben Namen, nur mit einer .exe-Erweiterung.

Der Giddome verfügt über eine Vielzahl bösartiger Funktionen, darunter das Aufzeichnen und Erfassen von Audio mit einem Mikrofon, das sich auf dem System des Opfers befindet, das Erstellen von Screenshots und das Senden dieser an Remote-Server, das Protokollieren von Tastenanschlägen sowie das Herunterladen und Ausführen von Dateien aus der Ferne.

Die jüngsten Angriffe, bei denen die Giddome-Hintertür eingesetzt wurde, um Unternehmen in der Ukraine anzugreifen, verwendeten auch kompromittierte Instanzen von Remote-Desktop-Verwaltungstools wie AnyDesk und Ammyy Admin.