Graphon Backdoor, impianto primario di Harvest APT

Il Graphon Backdoor è un impianto dannoso il cui sviluppo e utilizzo è attribuito all'attore Harvester Advanced Persistent Threat (APT). Come suggerisce il nome di questo gruppo di criminali informatici, il loro obiettivo è raccogliere dati dalle reti infiltrate delle loro vittime. Sebbene il furto di informazioni sembri essere la loro motivazione principale, Graphon Backdoor è anche in grado di eseguire altre attività sui sistemi che compromette. In genere, Graphon Backdoor è aiutato da molteplici strumenti personalizzati e pubblici utilizzati dagli hacker di Harvester APT:

• Uno strumento di screenshot personalizzato che può catturare immagini del desktop e finestre specifiche.
• Il Cobalt Strike Beacon craccato che può eseguire comandi remoti e altro ancora.
• Metasploit, un framework di exploit personalizzato.

L'ultima campagna Graphon Backdoor è ancora attiva e i ricercatori sulla sicurezza informatica stanno ancora raccogliendo informazioni al riguardo. Finora, sembra che l'attacco si concentri sulle vittime nell'Asia meridionale e, in particolare, nella regione dell'Afghanistan. Le vittime degli attacchi Graphon Backdoor sono tipicamente istituzioni ed entità che operano nei seguenti settori: governo, IT e telecomunicazioni. Per quanto riguarda il vettore di infezione su cui fanno affidamento i criminali, non ci sono ancora dati. Tuttavia, è molto probabile che si basino su metodi tradizionali come sfruttare i punti deboli di software obsoleti o e-mail di spear phishing.

Graphon Backdoor sfrutta i legittimi servizi di hosting

Il Graphon Backdoor ha i suoi server di comando e controllo ospitati sul servizio Microsoft Azure. Anche se questo potrebbe sembrare strano, è un modo semplice per mescolare il traffico dannoso con quello legittimo e impedire che si distingua troppo. Questo impianto è in grado di eseguire comandi remoti, nonché di azionare gli strumenti personalizzati che i criminali introducono come payload di secondo stadio. Finora non sono state identificate altre versioni della Graphon Backdoor. Le entità e le aziende che potrebbero diventare il bersaglio di questi attacchi dovrebbero garantire la protezione del proprio sistema con l'uso di software di sicurezza affidabili e applicando le patch di sicurezza più recenti.