Graphon Backdoor, Harvest APTs primære implantat
Graphon Backdoor er et ondsinnet implantat hvis utvikling og bruk tilskrives Harvester Advanced Persistent Threat (APT) -aktøren. Som navnet på denne nettkriminalitetsgruppen antyder, er fokuset på å høste data fra de infiltrerte nettverkene til ofrene deres. Selv om det å stjele informasjon ser ut til å være deres primære motivasjon, er Graphon Backdoor også i stand til å utføre andre oppgaver på systemene den kompromitterer. Vanligvis får Graphon Backdoor hjelp av flere tilpassede og offentlige verktøy som Harvester APT -hackerne bruker:
- Et tilpasset skjermbildeverktøy som kan ta bilder av skrivebordet og spesifikke vinduer.
- Den sprukne Cobalt Strike Beacon som kan kjøre fjernkommandoer og mer.
- Metasploit, et tilpasset utnyttelsesrammeverk.
Den siste Graphon Backdoor -kampanjen er fortsatt aktiv, og forskere innen cybersikkerhet samler fortsatt etterretning om det. Så langt ser det ut til at angrepet fokuserer på ofre i Sør -Asia og spesielt Afghanistan -regionen. Ofrene for Graphon Backdoor -angrepene er vanligvis institusjoner og enheter som opererer i følgende sektorer - myndigheter, IT og telekommunikasjon. Når det gjelder infeksjonsvektoren som de kriminelle stoler på - er det ingen data ennå. Imidlertid er det svært sannsynlig at de er avhengige av tradisjonelle metoder som å utnytte svakheter i utdatert programvare eller spydfishing -e -post.
Graphon Backdoor utnytter legitime hostingtjenester
Graphon Backdoor har sine kommando-og-kontroll-servere på Microsoft Azure-tjenesten. Selv om dette kan virke rart, er det en enkel måte å blande den ondsinnede trafikken med den legitime, og forhindre at den skiller seg ut for mye. Dette implantatet er i stand til å utføre eksterne kommandoer, samt å betjene tilpassede verktøy som kriminelle introduserer som nyttetrinn i andre trinn. Så langt har ingen andre versjoner av Graphon Backdoor blitt identifisert. Enheter og selskaper som sannsynligvis vil bli målet for disse angrepene, bør sikre systemets beskyttelse ved bruk av anerkjent sikkerhetsprogramvare og bruke de nyeste sikkerhetsoppdateringene.
