Graphon Backdoor, el implante principal de Harvest APT
Graphon Backdoor es un implante malicioso cuyo desarrollo y uso se atribuye al actor Harvester Advanced Persistent Threat (APT). Como sugiere el nombre de este grupo de ciberdelincuencia, su enfoque está en recolectar datos de las redes infiltradas de sus víctimas. Aunque el robo de información parece ser su principal motivación, Graphon Backdoor también puede ejecutar otras tareas en los sistemas que compromete. Por lo general, Graphon Backdoor cuenta con la ayuda de varias herramientas públicas y personalizadas que utilizan los piratas informáticos de Harvester APT:
- Una herramienta de captura de pantalla personalizada que puede capturar imágenes del escritorio y ventanas específicas.
- El Cobalt Strike Beacon agrietado que puede ejecutar comandos remotos y más.
- Metasploit, un marco de exploits personalizado.
La última campaña de Graphon Backdoor todavía está activa, y los investigadores de ciberseguridad aún están recopilando información al respecto. Hasta ahora, parece que el ataque se centra en las víctimas en el sur de Asia y, en particular, en la región de Afganistán. Las víctimas de los ataques de Graphon Backdoor suelen ser instituciones y entidades que operan en los siguientes sectores: gobierno, TI y telecomunicaciones. En cuanto al vector de infección en el que confían los delincuentes, todavía no hay datos. Sin embargo, es muy probable que estén confiando en métodos tradicionales como explotar las debilidades en software obsoleto o correos electrónicos de spear phishing.
Graphon Backdoor aprovecha los servicios legítimos de alojamiento
Graphon Backdoor tiene sus servidores de comando y control alojados en el servicio Microsoft Azure. Si bien esto puede parecer extraño, es una manera fácil de mezclar el tráfico malicioso con el legítimo y evitar que se destaque demasiado. Este implante puede ejecutar comandos remotos, así como operar las herramientas personalizadas que los delincuentes introducen como cargas útiles de segunda etapa. Hasta ahora, no se han identificado otras versiones de Graphon Backdoor. Las entidades y empresas que probablemente se convertirán en el objetivo de estos ataques deben garantizar la protección de su sistema con el uso de software de seguridad confiable y la aplicación de los últimos parches de seguridad.
