WhiskerSpy Backdoor koblet til APT
Forskere har identifisert en ny bakdør som har blitt knyttet til den avanserte vedvarende trusselgruppen Earth Kitsune, en gruppe de tidligere har studert. Earth Kitsune har distribuert egenutviklede bakdører til mål som er interessert i Nord-Korea siden 2019. I tidligere tilfeller fant forskere at gruppen brukte vannhullstaktikker for å kompromittere Nord-Korea-relaterte nettsteder og injisere nettleserutnyttelser. Men i sitt siste angrep brukte gruppen sosial ingeniørtaktikk i stedet for nettleserutnyttelse.
På slutten av 2022 oppdaget forskere at nettstedet til en pro-nordkoreansk organisasjon var blitt kompromittert for å distribuere skadelig programvare. Angriperne injiserte et ondsinnet skript på nettstedets videosider som viste en falsk feilmelding, og fikk ofrene til å laste ned og installere et trojanisert kodek-installasjonsprogram som lastet en ny bakdør kalt "WhiskerSpy". Angriperne brukte også en utholdenhetsteknikk som utnyttet Google Chromes opprinnelige meldingsvert.
Angriperne konfigurerte nettsidene til å levere det ondsinnede skriptet eksklusivt til besøkende fra en liste over IP-adresser, noe som gjorde det vanskelig å oppdage angrepet. Forskere fant imidlertid en tekstfil på angripernes server som inneholdt et regulært uttrykk som samsvarte med de målrettede IP-adressene. Forskerne bemerket at IP-adressene i Shenyang og Nagoya sannsynligvis var de virkelige målene, mens de målrettede IP-adressene i Brasil stort sett tilhørte en kommersiell VPN-tjeneste som angriperne kan ha brukt for å teste vannhullsangrepene sine. For å bekrefte angrepet brukte forskere den samme VPN-tjenesten for å motta det skadelige skriptet.
Hva er en bakdør og hvordan kan den utsette deg for ytterligere trusler?
En bakdør er en type ondsinnet programvare eller kode som gir uautorisert tilgang til en datamaskin eller et nettverk, og omgår vanlige sikkerhetsmekanismer. Bakdører kan brukes av nettkriminelle for å få tilgang til sensitiv informasjon, installere ytterligere skadelig programvare eller ta kontroll over et system eksternt.
Når en bakdør er installert, kan den la et system være åpent for en lang rekke ekstra trusler. Angripere kan for eksempel bruke bakdøren til å stjele påloggingsinformasjon, installere nøkkelloggere for å fange opp sensitive data eller starte et løsepengeangrep for å kryptere filer på det kompromitterte systemet. Bakdører kan også brukes til å spre skadelig programvare til andre systemer i nettverket, slik at angripere kan utvide rekkevidden og få tilgang til mer sensitive data.
I tillegg til den potensielle skaden forårsaket av uautorisert tilgang og datatyveri, kan bakdører være vanskelige å oppdage og fjerne. Fordi de er designet for å omgå vanlige sikkerhetsmekanismer, kan de skjules dypt inne i systemets kode, noe som gjør dem vanskelige å oppdage med standard antivirusverktøy. Som et resultat kan tilstedeværelsen av en bakdør gjøre et system sårbart for angrep i en lengre periode, selv etter at annen skadelig programvare er fjernet.
