Graphon Backdoor, het primaire implantaat van Harvest APT

De Graphon Backdoor is een kwaadaardig implantaat waarvan de ontwikkeling en het gebruik wordt toegeschreven aan de Harvester Advanced Persistent Threat (APT)-acteur. Zoals de naam van deze cybercriminaliteitsgroep aangeeft, ligt hun focus op het verzamelen van gegevens van de geïnfiltreerde netwerken van hun slachtoffers. Hoewel het stelen van informatie hun primaire motivatie lijkt te zijn, is de Graphon Backdoor ook in staat om andere taken uit te voeren op de systemen die het compromitteert. Meestal wordt de Graphon Backdoor geholpen door meerdere aangepaste en openbare tools die de Harvester APT-hackers gebruiken:

• Een aangepaste screenshot-tool die foto's van het bureaublad en specifieke vensters kan maken.
• Het gekraakte Cobalt Strike Beacon dat op afstand opdrachten kan uitvoeren en meer.
• Metasploit, een op maat gemaakt exploit-framework.

De nieuwste Graphon Backdoor-campagne is nog steeds actief en cybersecurity-onderzoekers verzamelen er nog steeds informatie over. Tot nu toe lijkt het erop dat de aanval zich richt op slachtoffers in Zuid-Azië en met name de regio Afghanistan. De slachtoffers van de Graphon Backdoor-aanvallen zijn doorgaans instellingen en entiteiten die actief zijn in de volgende sectoren: overheid, IT en telecommunicatie. Wat betreft de infectievector waarop de criminelen vertrouwen - er zijn nog geen gegevens. Het is echter zeer waarschijnlijk dat ze vertrouwen op traditionele methoden, zoals het misbruiken van zwakke punten in verouderde software of spear phishing-e-mails.

Graphon Backdoor maakt gebruik van legitieme hostingdiensten

De Graphon Backdoor heeft zijn command-and-control-servers die worden gehost op de Microsoft Azure-service. Hoewel dit misschien vreemd lijkt, is het een gemakkelijke manier om het kwaadaardige verkeer te mengen met het legitieme verkeer en te voorkomen dat het te veel opvalt. Dit implantaat is in staat om op afstand commando's uit te voeren, maar ook om de aangepaste tools te bedienen die de criminelen introduceren als tweede-traps payloads. Tot nu toe zijn er geen andere versies van de Graphon Backdoor geïdentificeerd. Entiteiten en bedrijven die waarschijnlijk het doelwit van deze aanvallen worden, moeten de bescherming van hun systeem waarborgen met behulp van gerenommeerde beveiligingssoftware en het toepassen van de nieuwste beveiligingspatches.