Crowdoor Backdoor ist eine gefährliche Bedrohung für Menschenrechtsstudien

Eine von der Hackergruppe Tropic Trooper orchestrierte Cyber-Kampagne hat für Aufsehen gesorgt, insbesondere mit ihrem Fokus auf Regierungsstellen im Nahen Osten und Malaysia. Tropic Trooper, das seit 2011 aktiv ist und dafür bekannt ist, kritische Sektoren wie das Gesundheitswesen und die Hightech-Industrie anzugreifen, hat nun auch Institutionen im Visier, die sich mit Menschenrechtsstudien befassen. Diese Angriffe unterstreichen die anhaltende Bedrohung durch die Gruppe, insbesondere durch den Einsatz der Crowdoor-Hintertür, einer Variante der bereits bekannten SparrowDoor-Malware.

Kaspersky entdeckte diese jüngste Angriffswelle erstmals im Juni 2024 und entdeckte die China Chopper-Webshell auf kompromittierten Servern, auf denen die Umbraco CMS-Plattform läuft. Die Angreifer nutzten bekannte Schwachstellen in Webanwendungen wie Adobe ColdFusion und Microsoft Exchange Server aus, um diese Hintertür bereitzustellen.

Was ist Crowdoor Backdoor?

Crowdoor ist ein ausgeklügeltes Malware-Implantat, das von Tropic Trooper verwendet wird, um Zielsysteme zu infiltrieren. Diese Backdoor wurde erstmals im Juni 2023 entdeckt und fungiert in erster Linie als Loader, der das berüchtigte Cobalt Strike-Tool ablegt, um seine Persistenz aufrechtzuerhalten. Crowdoor ermöglicht Angreifern Folgendes:

• Sammeln Sie vertrauliche Informationen
• Starten Sie eine Reverse Shell, um die Kontrolle zu behalten
• Löschen Sie Spuren anderer Malware-Dateien
• Beendet sich selbst, um einer Erkennung zu entgehen

Tropic Trooper verwendet verschiedene Techniken wie DLL-Sideloading, Abwehrumgehung und laterale Bewegung, um die Wirkung der Malware zu maximieren. Seine Präsenz in Regierungsstellen, die sich mit Menschenrechtsstudien befassen, weist auf eine ernste Bedrohung der Cybersicherheit hin, die sofortige Aufmerksamkeit erfordert.

So entfernen Sie die Crowdoor-Hintertür

Wenn Sie vermuten, dass Ihr System mit der Crowdoor-Hintertür infiziert ist, ist schnelles Handeln unerlässlich, um weiteren Schaden zu verhindern. Hier finden Sie eine Schritt-für-Schritt-Anleitung zum Erkennen und Entfernen der Malware:

1. Isolieren Sie das infizierte System

Trennen Sie das infizierte System umgehend vom Netzwerk. Dadurch wird verhindert, dass die Malware mit ihrem Command-and-Control-Server kommuniziert oder sich auf andere Systeme im Netzwerk ausbreitet.

2. Führen Sie einen umfassenden Malware-Scan durch

Verwenden Sie vertrauenswürdige Anti-Malware-Programme, um das infizierte System zu scannen. Zu den besten Tools zum Erkennen und Entfernen fortgeschrittener Bedrohungen wie Crowdoor gehören:

• Malwarebytes
• ESET Internet Security
• Bitdefender Total Security

Diese Tools sollten regelmäßig aktualisiert werden, um neuere Malware-Varianten zu erkennen.

3. Suchen Sie nach verdächtigen DLL-Dateien

Crowdoor verwendet häufig DLL-Sideloading-Techniken, um der Erkennung zu entgehen. Suchen Sie nach verdächtigen oder nicht autorisierten DLL-Dateien, insbesondere in Verzeichnissen, die mit legitimen Softwareinstallationen verknüpft sind.

4. Suchen Sie nach Cobalt Strike Beacons

Da Crowdoor Cobalt Strike ausgibt, ist es wichtig, das System auf Cobalt Strike-Beacons zu überwachen. Sicherheitstools wie Wireshark oder Zeek können hilfreich sein, um Beacon-Aktivitäten zu identifizieren, die mit der Infrastruktur des Angreifers kommunizieren.

5. Entfernen Sie bösartige Einträge

Überprüfen Sie manuell Registrierungseinträge, Startprogramme und geplante Aufgaben, die möglicherweise geändert wurden, um die Persistenz aufrechtzuerhalten. Entfernen Sie alle verdächtigen Einträge, um sicherzustellen, dass Crowdoor das System beim Neustart nicht erneut infiziert.

6. Sicherheitspatches anwenden

Die Crowdoor-Hintertür wird normalerweise durch Ausnutzen bekannter Schwachstellen in Webanwendungen wie Adobe ColdFusion und Microsoft Exchange Server bereitgestellt. Wenden Sie die neuesten Sicherheitspatches (wie CVE-2023-26360 und CVE-2021-34473) an, um eine weitere Ausnutzung zu verhindern.

7. Installieren Sie das Betriebssystem neu

In Fällen, in denen die Infektion tief verwurzelt ist, kann eine vollständige Neuinstallation des Betriebssystems erforderlich sein. Sichern Sie unbedingt wichtige Dateien (nachdem sie auf Malware geprüft wurden) und installieren Sie das System neu, um sicherzustellen, dass keine Spuren der Crowdoor-Hintertür zurückbleiben.

Bleiben Sie geschützt

Crowdoor ist Teil einer größeren Bedrohungslandschaft, in der chinesischsprachige Bedrohungsakteure weiterhin Schwachstellen in Content-Management-Systemen ausnutzen und sensible Bereiche wie die Menschenrechtsforschung ins Visier nehmen. Um Ihr System zu schützen, stellen Sie regelmäßige Updates aller Software sicher, aktivieren Sie Firewalls und setzen Sie erweiterte Lösungen zur Bedrohungserkennung ein. Indem Sie diese Richtlinien befolgen, können Sie das Risiko minimieren, Opfer von ausgeklügelten Malware-Angriffen wie Crowdoor zu werden.