Graphon Backdoor, das primäre Implantat von Harvest APT

Die Graphon Backdoor ist ein bösartiges Implantat, dessen Entwicklung und Verwendung dem Harvester Advanced Persistent Threat (APT)-Akteur zugeschrieben wird. Wie der Name dieser Cybercrime-Gruppe vermuten lässt, liegt ihr Fokus auf dem Sammeln von Daten aus den infiltrierten Netzwerken ihrer Opfer. Obwohl das Stehlen von Informationen ihre Hauptmotivation zu sein scheint, kann die Graphon Backdoor auch andere Aufgaben auf den Systemen ausführen, die sie gefährdet. Normalerweise wird die Graphon-Backdoor von mehreren benutzerdefinierten und öffentlichen Tools unterstützt, die die Harvester APT-Hacker verwenden:

• Ein benutzerdefiniertes Screenshot-Tool, das Bilder des Desktops und bestimmter Fenster aufnehmen kann.
• Das geknackte Cobalt Strike Beacon, das Fernbefehle und mehr ausführen kann.
• Metasploit, ein benutzerdefiniertes Exploit-Framework.

Die neueste Graphon Backdoor-Kampagne ist immer noch aktiv, und Cybersicherheitsforscher sammeln immer noch Informationen darüber. Bisher scheint es, dass sich der Angriff auf Opfer in Südasien und insbesondere in der Region Afghanistan konzentriert. Die Opfer der Graphon Backdoor-Angriffe sind in der Regel Institutionen und Einrichtungen, die in den folgenden Sektoren tätig sind – Regierung, IT und Telekommunikation. Zum Infektionsvektor, auf den sich die Kriminellen verlassen, gibt es noch keine Daten. Allerdings setzen sie mit hoher Wahrscheinlichkeit auf traditionelle Methoden wie das Ausnutzen von Schwachstellen in veralteter Software oder Spear-Phishing-E-Mails.

Graphon Backdoor nutzt legitime Hosting-Services

Die Command-and-Control-Server von Graphon Backdoor werden im Microsoft Azure-Dienst gehostet. Obwohl dies seltsam erscheinen mag, ist es eine einfache Möglichkeit, den bösartigen Datenverkehr mit dem legitimen zu vermischen und zu verhindern, dass er zu sehr auffällt. Dieses Implantat ist in der Lage, Fernbefehle auszuführen und die benutzerdefinierten Tools zu bedienen, die die Kriminellen als Nutzlasten der zweiten Stufe einführen. Bisher wurden keine anderen Versionen der Graphon Backdoor identifiziert. Einrichtungen und Unternehmen, die wahrscheinlich zum Ziel dieser Angriffe werden, sollten den Schutz ihres Systems durch den Einsatz seriöser Sicherheitssoftware und die Anwendung der neuesten Sicherheitspatches sicherstellen.