TinyTurla Backdoor, een door de staat gesponsorde Turla APT-malware, treft Duitsland en de VS

De Turla Advanced Persistent Threat (APT)-groep blijft een van de meest beruchte, door de staat gesponsorde Russische hackers. Ze zijn al bijna tien jaar actief in de hackscene en ontwikkelen hun benaderingen en arsenaal voortdurend. Een van de nieuwste toevoegingen aan de hacktools die ze gebruiken, is een herwerking van de Turla-achterdeur. De nieuwe dreiging heeft echter een aantal functies afgesneden - vandaar dat het de TinyTurla Backdoor wordt genoemd. Ondanks de enigszins beperkte functionaliteit, is het nog steeds een zeer gevaarlijke bedreiging die de hackers op lange termijn toegang kan geven tot het geïnfiltreerde systeem.

Het lijkt erop dat de huidige TinyTurla Backdoor-campagne zich richt op het verkrijgen van persistentie op de gehackte machine en vervolgens het implantaat te gebruiken om een secundaire lading af te leveren. De simplistische coderingsstijl en beperkte functionaliteit van de TinyTurla Backdoor hebben het mogelijk gemaakt om een tijdje onder de radar te blijven en enkele beveiligingsmaatregelen te omzeilen. U kunt er echter zeker van zijn dat antivirussoftware het tegenwoordig gemakkelijk zal opvangen.

Momenteel zijn er actieve exemplaren van de TinyTurla Backdoor geïdentificeerd in Duitsland en de Verenigde Staten. Het is echter zeer waarschijnlijk dat de Turla-hackers ook achter andere regio's aan zijn gegaan. Overeenkomsten tussen de code van deze achterdeur en andere Turla-implantaten zijn niet de enige reden om aan te nemen dat de groep achter dit project zit - ze gebruiken ook dezelfde netwerkinfrastructuur.

Wat doet TinyTurla Backdoor?

De functies van de TinyTurla Backdoor, hoewel beperkt, kunnen nog steeds voor veel problemen zorgen. Enkele van de opdrachten die dit implantaat kan uitvoeren zijn:

• Authenticeer de gebruiker die toegang probeert te krijgen tot het implantaat – waarschijnlijk om te voorkomen dat analisten proberen het implantaat te controleren en te analyseren.
• Voer externe opdrachten/bestanden uit en log de uitvoer vervolgens in op de command-and-control (C&C)-server.
• Download of upload bestanden.
• Verander het authenticatiewachtwoord, evenals de C&C-server.

Tot nu toe is de infectievector die de Turla-hackers gebruiken om deze achterdeur af te leveren niet duidelijk. Actieve kopieën van het implantaat gebruikten echter een DLL gerelateerd aan de Windows Time Service als vermomming. Het is niet ongebruikelijk dat kwaadaardige bestanden legitieme softwarepakketten of bestanden die ze gebruiken proberen na te bootsen.

De activiteit van de Turla APT is sinds 2014 de focus van malware-onderzoekers. Cybersecurity-onderzoekers zijn echter van mening dat de activiteit van de door de staat gesponsorde groep terug te voeren is tot de jaren 2000.