SparrowDoor Backdoor: Cyberzagrożenie o zaawansowanych możliwościach

Badacze cyberbezpieczeństwa odkryli nową kampanię cybernetycznego szpiegostwa zorganizowaną przez grupę hakerską FamousSparrow, która została powiązana z niedawnym atakiem na amerykańską organizację handlową i meksykański instytut badawczy. Sercem tej operacji jest tylne wejście SparrowDoor, zaawansowane narzędzie zaprojektowane do infiltracji i utrzymywania się w docelowych systemach, ułatwiające tajną kradzież danych i nieautoryzowany dostęp.

Czym jest SparrowDoor Backdoor?

SparrowDoor to implant backdoor, po raz pierwszy zidentyfikowany w 2021 r. , który był wyłącznie powiązany z grupą FamousSparrow. To narzędzie umożliwia atakującym wykonywanie poleceń, manipulowanie plikami, zbieranie informacji, a nawet odinstalowywanie się, gdy jest to konieczne, aby uniknąć wykrycia. Niedawno zidentyfikowano dwie nowe wersje SparrowDoor, prezentujące znaczące ulepszenia w zakresie wydajności i modułowości.

Jedna z tych wersji została opracowana modułowo, integrując architekturę opartą na wtyczkach, która rozszerza jej funkcjonalność. Te moduły pozwalają atakującym rejestrować naciśnięcia klawiszy, wykonywać polecenia zdalne, uruchamiać usługi proxy, robić zrzuty ekranu i monitorować zmiany w systemie plików. Ta konstrukcja zapewnia operatorom precyzyjną kontrolę nad naruszonymi systemami i zwiększa wszechstronność backdoora.

Jak działa SparrowDoor?

Atak rozpoczyna się od wdrożenia powłoki internetowej na serwerze Internet Information Services (IIS), która działa jako brama do dostarczania złośliwych ładunków. Dokładna metoda uzyskania początkowego dostępu pozostaje niejasna. Nadal uważa się, że przestarzałe oprogramowanie, takie jak starsze wersje Windows Server i Microsoft Exchange Server, odegrało rolę w ułatwieniu naruszenia.

Po dostaniu się do środka atakujący wykonują skrypt wsadowy, który wdraża osadzoną powłokę internetową opartą na .NET. Ta dodatkowa powłoka internetowa instaluje następnie SparrowDoor, ustanawiając trwały punkt zaczepienia w naruszonej sieci. Jednym z kluczowych ulepszeń backdoora jest jego zdolność do wykonywania długotrwałych poleceń bez zakłócania komunikacji z serwerem poleceń i kontroli (C&C). Oznacza to, że backdoor może przetwarzać nowe instrukcje, jednocześnie wykonując czasochłonne operacje, takie jak transfery plików lub interakcje powłoki.

Jakie są jego możliwości?

SparrowDoor oferuje rozbudowany zestaw poleceń, które umożliwiają atakującym:

• Uruchom interaktywne sesje powłoki, aby uzyskać kontrolę w czasie rzeczywistym.
• Przesyłaj pliki pomiędzy komputerem ofiary a serwerem C&C.
• Rejestruj naciśnięcia klawiszy, aby przechwycić poufne informacje.
• Skonfiguruj serwer proxy TCP w celu kierowania złośliwego ruchu.
• Monitoruj zmiany w określonych katalogach.
• Rób zrzuty ekranu, aby wizualnie śledzić aktywność użytkowników.
• Wylicza i kończy działanie procesów.

Dzięki tym funkcjom SparrowDoor jest skutecznym narzędziem do długoterminowego cybernetycznego szpiegostwa, eksfiltracji danych i ciągłej infiltracji sieci.

Powiązanie z innymi zagrożeniami cybernetycznymi

Podczas gdy FamousSparrow został powiązany z innymi znanymi grupami zagrożeń, w tym Earth Estries, GhostEmperor i Salt Typhoon, analitycy cyberbezpieczeństwa nadal traktują go jako odrębny podmiot. Wynika to z jego unikalnych metodologii ataków i wyłącznego korzystania z SparrowDoor.

Najnowsza kampania grupy oznacza również pierwszy udokumentowany przypadek wdrożenia ShadowPad, innego wysoce zaawansowanego złośliwego oprogramowania wcześniej kojarzonego z chińskimi podmiotami sponsorowanymi przez państwo. Sugeruje to, że FamousSparrow może dzielić się narzędziami lub dostosowywać swoje działania do innych zaawansowanych trwałych zagrożeń (APT), co jeszcze bardziej komplikuje wysiłki atrybucyjne.

Konsekwencje ataku

Pojawienie się ulepszonego tylnego wejścia SparrowDoor ma poważne implikacje dla globalnego cyberbezpieczeństwa. Organizacje korzystające ze starych lub niezałatanych systemów są szczególnie podatne na to zagrożenie, ponieważ metody ataku polegają na wykorzystywaniu znanych słabości infrastruktury przedsiębiorstwa.

Zdolność SparrowDoor do utrzymywania trwałości i wykonywania równoległych zadań sprawia, że jest to potężne narzędzie do cybernetycznego szpiegostwa. Rodzi to obawy dotyczące potencjalnej kradzieży własności intelektualnej i nadzoru oraz szerszego ryzyka dla kluczowych branż. Instytuty badawcze, agencje rządowe i organizacje sektora prywatnego przetwarzające poufne dane muszą zachować czujność wobec takich zagrożeń.

Środki obronne

Aby ograniczyć ryzyko związane ze SparrowDoor i podobnymi zagrożeniami cybernetycznymi, organizacje powinny podjąć proaktywne kroki, w tym:

• Regularne instalowanie poprawek: dbanie o to, aby całe oprogramowanie, zwłaszcza Windows Server i Microsoft Exchange, było aktualizowane do najnowszych wersji zabezpieczeń.
• Monitorowanie sieci: wdrażanie zaawansowanych systemów wykrywania zagrożeń w celu identyfikacji nietypowych wzorców ruchu i nieautoryzowanych prób dostępu.
• Bezpieczeństwo punktów końcowych: wdrażanie skutecznych rozwiązań ochrony punktów końcowych, które potrafią wykrywać i neutralizować zaawansowane złośliwe oprogramowanie.
• Kontrola dostępu: Ograniczanie uprawnień administracyjnych w celu zminimalizowania powierzchni ataku.
• Planowanie reagowania na incydenty: Przygotowywanie planów awaryjnych w celu szybkiego reagowania na incydenty cybernetyczne i minimalizowania potencjalnych szkód.

Ostatnie myśli

Odkrycie najnowszych wariantów SparrowDoor sygnalizuje, że FamousSparrow pozostaje aktywnym i rozwijającym się cyberzagrożeniem. Ze swoimi zaawansowanymi możliwościami, modułową architekturą i potencjalnymi powiązaniami z innymi grupami APT, backdoor stanowi poważne ryzyko dla organizacji na całym świecie. Ponieważ cyberzagrożenia nie przestają ewoluować, firmy i instytucje muszą przyjąć silne środki cyberbezpieczeństwa, aby bronić się przed takimi uporczywymi i adaptacyjnymi przeciwnikami.