SPICA Backdoor gekoppeld aan het Russische hackercollectief

De Threat Analysis Group (TAG) van Google onthulde dat de Russische hackgroep COLDRIVER zich bezighoudt met phishing-activiteiten op het gebied van inloggegevens gericht op prominente NGO's, voormalig inlichtingenpersoneel en militair personeel, evenals op NAVO-regeringen.

TAG heeft actief toezicht gehouden op en gerapporteerd over de spionage-inspanningen van COLDRIVER, in lijn met de belangen van de Russische overheid. In een poging om het bewustzijn van de gemeenschap over de activiteiten van COLDRIVER te vergroten, benadrukte Wesley Shields van TAG hun uitgebreide mogelijkheden, waaronder nu de inzet van malware.

COLDRIVER voert campagnes tegen Oekraïne, NAVO-landen, academische instellingen en NGO's. De groep neemt vaak de gedaante aan van experts of individuen die betrokken zijn bij het doelwit om het vertrouwen van hun slachtoffers te winnen.

TAG heeft waargenomen dat COLDRIVER ogenschijnlijk onschuldige PDF-documenten verzond vanuit nabootsingsaccounts en deze presenteerde als opiniestukken of artikelen waarin om feedback werd gevraagd voor publicatie. Bij het openen van de PDF's blijkt dat de tekst gecodeerd is.

Als het doel aangeeft dat het document moeilijk te lezen is, reageert het imitatieaccount met een link die beweert een "decoderings"-hulpprogramma te zijn. Dit hulpprogramma is echter in werkelijkheid een achterdeur die bekend staat als SPICA en die de aanvallers toegang geeft tot de machine van het slachtoffer.

Wat is de SPICA-achterdeur precies?

De SPICA backdoor-malware is een klanttool geschreven in Rust en maakt gebruik van websocket-communicatie voor het aansturen en besturen van getroffen apparaten. Het stelt aanvallers in staat verschillende opdrachten uit te voeren op geïnfecteerde apparaten, zoals het uitvoeren van willekeurige shell-opdrachten, het stelen van cookies uit browsers zoals Chrome, Firefox, Opera en Edge, het uploaden en downloaden van bestanden, toegang krijgen tot het bestandssysteem en het exfiltreren van documenten.

Google gebruikt de bevindingen van TAG om de veiligheid en beveiliging van zijn producten te verbeteren. De geïdentificeerde websites, domeinen en bestanden zijn geïntegreerd in Safe Browsing-protocollen om verdere exploitatie te voorkomen. TAG brengt ook gerichte Gmail- en Workspace-gebruikers op de hoogte van mogelijke aanvallen en moedigt hen aan om verbeterd veilig browsen te gebruiken voor extra bescherming.