Crowdoor Backdoor is een gevaarlijke bedreiging gericht op mensenrechtenstudies

Een cybercampagne georkestreerd door de Tropic Trooper hackergroep heeft golven gemaakt, vooral met zijn focus op overheidsinstanties in het Midden-Oosten en Maleisië. Tropic Trooper, actief sinds 2011 en bekend om het targeten van kritieke sectoren zoals gezondheidszorg en hightechindustrieën, heeft nu zijn vizier gericht op instellingen die betrokken zijn bij mensenrechtenstudies. Deze aanvallen benadrukken de aanhoudende dreiging van de groep, met name met de inzet van de Crowdoor backdoor, een variant van de eerder bekende SparrowDoor-malware.

Kaspersky ontdekte deze laatste aanvalsgolf voor het eerst in juni 2024, toen de China Chopper web shell werd ontdekt op gecompromitteerde servers met het Umbraco CMS-platform. De aanvallers maakten gebruik van bekende kwetsbaarheden in webapplicaties zoals Adobe ColdFusion en Microsoft Exchange Server om deze backdoor te leveren.

Wat is Crowdoor Backdoor?

Crowdoor is een geavanceerd malware-implantaat dat door Tropic Trooper wordt gebruikt om doelsystemen te infiltreren. Deze backdoor werd voor het eerst waargenomen in juni 2023 en functioneert voornamelijk als een loader, waarbij de beruchte Cobalt Strike-tool wordt gedropt om persistentie te behouden. Crowdoor stelt aanvallers in staat om:

• Gevoelige informatie oogsten
• Lanceer een omgekeerde shell om de controle te behouden
• Wis sporen van andere malwarebestanden
• Beëindig zichzelf om detectie te ontwijken

Tropic Trooper gebruikt verschillende technieken zoals DLL side-loading, defense evasion en laterale beweging om de impact van de malware te maximaliseren. De aanwezigheid ervan in overheidsinstanties die zich richten op mensenrechtenstudies, signaleert een ernstige cybersecurity-dreiging die onmiddellijke aandacht vereist.

Hoe Crowdoor Backdoor te verwijderen

Als u vermoedt dat uw systeem is geïnfecteerd door de Crowdoor-backdoor, is het cruciaal om snel actie te ondernemen om verdere schade te voorkomen. Hier is een stapsgewijze handleiding over hoe u de malware kunt detecteren en verwijderen:

1. Isoleer het geïnfecteerde systeem

Koppel het gecompromitteerde systeem onmiddellijk los van het netwerk. Deze actie voorkomt dat de malware communiceert met de command-and-control-server of zich verspreidt naar andere systemen binnen het netwerk.

2. Voer een uitgebreide malwarescan uit

Gebruik vertrouwde anti-malwareprogramma's om het geïnfecteerde systeem te scannen. Enkele van de beste tools voor het detecteren en verwijderen van geavanceerde bedreigingen zoals Crowdoor zijn:

• Malwarebytes
• ESET Internetbeveiliging
• Bitdefender Totale Beveiliging

Deze tools moeten regelmatig worden bijgewerkt om nieuwere malwarevarianten te detecteren.

3. Inspecteer op verdachte DLL-bestanden

Crowdoor gebruikt vaak DLL side-loading technieken om detectie te ontwijken. Onderzoek naar verdachte of ongeautoriseerde DLL-bestanden, met name in mappen die zijn gekoppeld aan legitieme software-installaties.

4. Controleer op Cobalt Strike Beacons

Omdat Crowdoor Cobalt Strike dropt, is het essentieel om het systeem te monitoren op Cobalt Strike-beacons. Beveiligingstools zoals Wireshark of Zeek kunnen handig zijn bij het identificeren van beacon-activiteit die communiceert met de infrastructuur van de aanvaller.

5. Verwijder schadelijke vermeldingen

Controleer handmatig registervermeldingen, opstartprogramma's en geplande taken die mogelijk zijn gewijzigd om persistentie te behouden. Verwijder verdachte vermeldingen om ervoor te zorgen dat Crowdoor het systeem niet opnieuw infecteert bij het opnieuw opstarten.

6. Beveiligingspatches toepassen

De Crowdoor-backdoor wordt doorgaans geleverd door bekende kwetsbaarheden in webapplicaties zoals Adobe ColdFusion en Microsoft Exchange Server te exploiteren. Pas de nieuwste beveiligingspatches toe (zoals CVE-2023-26360 en CVE-2021-34473) om verdere exploitatie te voorkomen.

7. Installeer het besturingssysteem opnieuw

In gevallen waarin de infectie diepgeworteld is, kan een volledige herinstallatie van het besturingssysteem noodzakelijk zijn. Zorg ervoor dat u belangrijke bestanden back-upt (nadat ze zijn gescand op malware) en het systeem opnieuw installeert om ervoor te zorgen dat er geen sporen van de Crowdoor-backdoor achterblijven.

Blijf beschermd

Crowdoor is onderdeel van een groter dreigingslandschap waarin Chinees sprekende dreigingsactoren kwetsbaarheden in contentmanagementsystemen blijven uitbuiten, gericht op gevoelige gebieden zoals mensenrechtenonderzoek. Om uw systeem te beschermen, moet u ervoor zorgen dat alle software regelmatig wordt bijgewerkt, firewalls inschakelen en geavanceerde oplossingen voor dreigingsdetectie implementeren. Door deze richtlijnen te volgen, kunt u het risico minimaliseren dat u slachtoffer wordt van geavanceerde malware-aanvallen zoals Crowdoor.