SparrowDoor Backdoor, een aangepaste trojan van de FamousSparrow APT
De groep FamousSparrow Advanced Persistent Threat (APT) is een vrij nieuwe naam op het gebied van cybercriminaliteit. Onlangs zijn hun activiteiten en campagnes nauwlettend gevolgd door malwareonderzoekers en is het eerste implantaat ontdekt dat de criminelen gebruiken. De dreiging, SparrowDoor genaamd, wordt gebruikt bij aanvallen op de hotelindustrie. Sommige exemplaren van de SparrowDoor Backdoor werden echter ook gezien op netwerken van ingenieursbureaus, advocatenkantoren en overheidsinstanties. De lijst met landen waarop de FamousSparrow APT zich richt is vrij lang: Canada, Israël, Frankrijk, Taiwan, Litouwen, Brazilië en vele anderen.
Vaak vertrouwen spraakmakende dreigingsactoren op phishing-berichten om de beveiliging van een netwerk binnen te dringen door werknemers uit te buiten. De SparrowDoor lijkt echter vaak systemen te infecteren door misbruik te maken van kwetsbare op het web aangesloten applicaties. Kort gezegd betekent dit dat de criminelen doorgaans op zoek zijn naar systemen met verouderde software die bepaalde kwetsbaarheden heeft.
SparrowDoor Backdoor richt zich op spionageoperaties
Als het eenmaal actief is, stelt de achterdeur een nieuwe service in en gebruikt het ook het Windows-register om persistentie te krijgen. De bestanden worden meestal opgeslagen in de map %APPDATA%, met gebruik van valse namen. Om de achterdeur te controleren, moeten aanvallers zich authenticeren met een gebruikersnaam en wachtwoord. De criminelen kunnen de SparrowDoor gebruiken om de volgende taken uit te voeren:
- Wijzig het bestandssysteem.
- Beheer lopende processen.
- Steel specifieke bestanden.
- Zoek naar specifieke bestanden en breng ze over naar de controleserver.
- Voer opdrachten op afstand uit.
- Verwijder het implantaat.
De hackers vertrouwen voornamelijk op het uitbuiten van kwetsbaarheden in SharePoint, Microsoft Exchange Server en Oracle Opera. Er is echter geen limiet aan het aantal internetgerichte toepassingen waarop ze zich richten. Webbeheerders moeten de vereiste maatregelen nemen om alle software bij te werken om te voorkomen dat de SparrowDoor en soortgelijke bedreigingen hun beveiliging binnendringen.
