Το Crowdoor Backdoor είναι μια επικίνδυνη απειλή που στοχεύει τις μελέτες για τα ανθρώπινα δικαιώματα

Μια εκστρατεία στον κυβερνοχώρο που ενορχηστρώθηκε από την ομάδα χάκερ Tropic Trooper έχει προκαλέσει πάταγο, ειδικά με την εστίασή της σε κυβερνητικούς φορείς στη Μέση Ανατολή και τη Μαλαισία. Η Tropic Trooper, που δραστηριοποιείται από το 2011 και είναι γνωστή για τη στόχευση κρίσιμων τομέων όπως η υγειονομική περίθαλψη και οι βιομηχανίες υψηλής τεχνολογίας, έχει πλέον βάλει στο στόχαστρο τους ιδρύματα που ασχολούνται με μελέτες για τα ανθρώπινα δικαιώματα. Αυτές οι επιθέσεις υπογραμμίζουν την επίμονη απειλή της ομάδας, ιδιαίτερα με την ανάπτυξη του Crowdoor backdoor, μιας παραλλαγής του παλαιότερα γνωστού κακόβουλου λογισμικού SparrowDoor.

Η Kaspersky εντόπισε για πρώτη φορά αυτό το τελευταίο κύμα επιθέσεων τον Ιούνιο του 2024, ανακαλύπτοντας το κέλυφος ιστού China Chopper σε παραβιασμένους διακομιστές που εκτελούν την πλατφόρμα Umbraco CMS. Οι εισβολείς εκμεταλλεύτηκαν γνωστά τρωτά σημεία σε εφαρμογές ιστού όπως το Adobe ColdFusion και ο Microsoft Exchange Server για να παραδώσουν αυτό το backdoor.

Τι είναι το Crowdoor Backdoor;

Το Crowdoor είναι ένα εξελιγμένο εμφύτευμα κακόβουλου λογισμικού που χρησιμοποιείται από την Tropic Trooper για να διεισδύσει σε στοχευμένα συστήματα. Παρατηρήθηκε για πρώτη φορά τον Ιούνιο του 2023, αυτή η κερκόπορτα λειτουργεί κυρίως ως φορτωτής, ρίχνοντας το διαβόητο εργαλείο Cobalt Strike για να διατηρήσει την επιμονή. Το Crowdoor επιτρέπει στους επιτιθέμενους να:

• Συγκομιδή ευαίσθητων πληροφοριών
• Εκκινήστε ένα αντίστροφο κέλυφος για να διατηρήσετε τον έλεγχο
• Διαγράψτε τα ίχνη άλλων αρχείων κακόβουλου λογισμικού
• Τερματιστεί για να αποφύγει τον εντοπισμό

Το Tropic Trooper χρησιμοποιεί διάφορες τεχνικές, όπως πλευρική φόρτωση DLL, αμυντική αποφυγή και πλευρική κίνηση για να μεγιστοποιήσει τον αντίκτυπο του κακόβουλου λογισμικού. Η παρουσία του σε κυβερνητικούς φορείς που επικεντρώνονται σε μελέτες για τα ανθρώπινα δικαιώματα σηματοδοτεί μια σοβαρή απειλή για την ασφάλεια στον κυβερνοχώρο που απαιτεί άμεση προσοχή.

Πώς να αφαιρέσετε το Crowdoor Backdoor

Εάν υποψιάζεστε ότι το σύστημά σας έχει μολυνθεί από την κερκόπορτα του Crowdoor, η λήψη άμεσων μέτρων είναι ζωτικής σημασίας για την αποφυγή περαιτέρω ζημιάς. Ακολουθεί ένας οδηγός βήμα προς βήμα για τον τρόπο εντοπισμού και κατάργησης του κακόβουλου λογισμικού:

1. Απομονώστε το μολυσμένο σύστημα

Αποσυνδέστε αμέσως το παραβιασμένο σύστημα από το δίκτυο. Αυτή η ενέργεια εμποδίζει το κακόβουλο λογισμικό να επικοινωνήσει με τον διακομιστή εντολών και ελέγχου ή να εξαπλωθεί σε άλλα συστήματα εντός του δικτύου.

2. Εκτελέστε μια ολοκληρωμένη σάρωση κακόβουλου λογισμικού

Χρησιμοποιήστε αξιόπιστα προγράμματα προστασίας από κακόβουλο λογισμικό για να σαρώσετε το μολυσμένο σύστημα. Μερικά από τα καλύτερα εργαλεία για τον εντοπισμό και την αφαίρεση προηγμένων απειλών όπως το Crowdoor περιλαμβάνουν:

• Malwarebytes
• ESET Internet Security
• Bitdefender Total Security

Αυτά τα εργαλεία θα πρέπει να ενημερώνονται τακτικά για τον εντοπισμό νεότερων παραλλαγών κακόβουλου λογισμικού.

3. Ελέγξτε για ύποπτα αρχεία DLL

Το Crowdoor χρησιμοποιεί συχνά τεχνικές πλευρικής φόρτωσης DLL για να αποφύγει τον εντοπισμό. Διερευνήστε για τυχόν ύποπτα ή μη εξουσιοδοτημένα αρχεία DLL, ειδικά σε καταλόγους που σχετίζονται με νόμιμες εγκαταστάσεις λογισμικού.

4. Ελέγξτε για Cobalt Strike Beacons

Εφόσον το Crowdoor ρίχνει το Cobalt Strike, είναι απαραίτητο να παρακολουθείτε το σύστημα για τους φάρους Cobalt Strike. Εργαλεία ασφαλείας όπως το Wireshark ή το Zeek μπορούν να είναι χρήσιμα για τον εντοπισμό δραστηριότητας beacon που επικοινωνεί με την υποδομή του εισβολέα.

5. Καταργήστε κακόβουλες καταχωρήσεις

Ελέγξτε με μη αυτόματο τρόπο τις καταχωρίσεις μητρώου, τα προγράμματα εκκίνησης και τις προγραμματισμένες εργασίες που μπορεί να έχουν τροποποιηθεί για να διατηρηθεί η σταθερότητα. Καταργήστε τυχόν ύποπτες καταχωρήσεις για να διασφαλίσετε ότι το Crowdoor δεν θα μολύνει ξανά το σύστημα κατά την επανεκκίνηση.

6. Εφαρμόστε ενημερώσεις κώδικα ασφαλείας

Η κερκόπορτα Crowdoor παραδίδεται συνήθως με εκμετάλλευση γνωστών τρωτών σημείων σε εφαρμογές Ιστού όπως το Adobe ColdFusion και ο Microsoft Exchange Server. Εφαρμόστε τις πιο πρόσφατες ενημερώσεις κώδικα ασφαλείας (όπως CVE-2023-26360 και CVE-2021-34473) για να αποτρέψετε περαιτέρω εκμετάλλευση.

7. Επανεγκαταστήστε το λειτουργικό σύστημα

Σε περιπτώσεις όπου η μόλυνση είναι βαθιά ριζωμένη, μπορεί να χρειαστεί πλήρης επανεγκατάσταση του λειτουργικού συστήματος. Φροντίστε να δημιουργήσετε αντίγραφα ασφαλείας σημαντικών αρχείων (αφού σαρωθούν για κακόβουλο λογισμικό) και να εγκαταστήσετε ξανά το σύστημα για να διασφαλίσετε ότι δεν θα μείνουν ίχνη από την κερκόπορτα του Crowdoor.

Μείνετε προστατευμένοι

Το Crowdoor είναι μέρος ενός ευρύτερου τοπίου απειλών όπου οι κινεζόφωνοι παράγοντες απειλών συνεχίζουν να εκμεταλλεύονται τις ευπάθειες στα συστήματα διαχείρισης περιεχομένου, στοχεύοντας ευαίσθητους τομείς όπως η έρευνα για τα ανθρώπινα δικαιώματα. Για να προστατεύσετε το σύστημά σας, εξασφαλίστε τακτικές ενημερώσεις σε όλο το λογισμικό, ενεργοποιήστε τα τείχη προστασίας και αναπτύξτε προηγμένες λύσεις ανίχνευσης απειλών. Ακολουθώντας αυτές τις οδηγίες, μπορείτε να ελαχιστοποιήσετε τον κίνδυνο να πέσετε θύματα εξελιγμένων επιθέσεων κακόβουλου λογισμικού όπως το Crowdoor.