TorNet Backdoor: Zagrożenie wykorzystujące sieć TOR

Tylne wejście z możliwością ukrycia

Grupa cyberprzestępców o motywacji finansowej została powiązana z trwającą kampanią phishingową, której celem byli przede wszystkim użytkownicy w Polsce i Niemczech. Od co najmniej lipca 2024 r. operacja ta doprowadziła do dystrybucji wielu złośliwych ładunków, w tym Agent Tesla , Snake Keylogger i innego tylnego wejścia znanego jako TorNet. To tylne wejście, nazwane tak ze względu na wykorzystanie anonimowej sieci TOR, pozwala atakującym na utrzymywanie dyskretnej komunikacji z naruszonymi systemami, jednocześnie unikając wykrycia.

Jak TorNet Backdoor dociera do systemów

Kampania opiera się na oszukańczych e-mailach podszywających się pod potwierdzenia transakcji finansowych lub potwierdzenia zamówień. Wiadomości te podszywają się pod instytucje finansowe, firmy logistyczne i firmy produkcyjne, aby sprawiać wrażenie legalnych. W e-mailach odbiorcy znajdują skompresowane załączniki w formacie „.tgz” — taktyka prawdopodobnie stosowana w celu ominięcia filtrów bezpieczeństwa.

Po wyodrębnieniu pliki uruchamiają ładowarkę opartą na .NET, zaprojektowaną do wdrożenia PureCrypter , znanego narzędzia do zaciemniania. Następnie PureCrypter ładuje tylne wejście TorNet, ale nie wcześniej niż wykona wiele technik omijania zabezpieczeń. Obejmują one antydebugowanie, wykrywanie maszyn wirtualnych i skanowanie antymalware, zapewniając, że atak pozostanie niewykryty przez tradycyjne środki obrony.

Czego chce TorNet Backdoor

Głównym celem TorNet jest ustanowienie stałego dostępu do systemów ofiar i ułatwienie dalszej złośliwej aktywności. Aby utrzymać ten punkt zaczepienia, tworzy zaplanowane zadanie systemu Windows, zapewniając jego wykonanie nawet w przypadku ponownego uruchomienia systemu lub niskiego poziomu naładowania baterii. Ponadto odłącza dotkniętą maszynę od sieci przed wdrożeniem jej ładunku, ponownie nawiązując łączność dopiero po instalacji. Ten proces uniemożliwia narzędziom bezpieczeństwa opartym na chmurze wykrycie lub zablokowanie włamania.

Po zainstalowaniu TorNet nawiązuje komunikację z serwerem poleceń i kontroli (C2) za pośrednictwem sieci TOR. To szyfrowane połączenie umożliwia atakującym wydawanie poleceń zdalnych, pobieranie i wykonywanie dodatkowych zestawów .NET bezpośrednio w pamięci oraz rozszerzanie powierzchni ataku w celu dalszego naruszenia. Takie podejście nie tylko zwiększa ukrycie, ale także zmniejsza ślady pozostawione na zainfekowanej maszynie, co komplikuje analizę kryminalistyczną.

Konsekwencje wdrożenia TorNet

Obecność TorNet w sieci organizacji wprowadza kilka problemów bezpieczeństwa. Wykorzystując sieć TOR, atakujący zyskują dodatkową warstwę anonimowości, co znacznie utrudnia atrybucję i śledzenie. Ponadto możliwość wykonywania dowolnego kodu w pamięci bez zapisywania plików na dysku pozwala im ominąć wiele tradycyjnych mechanizmów wykrywania.

Innym niepokojącym aspektem jest elastyczność tego tylnego wejścia. Ponieważ atakujący mogą w każdej chwili wprowadzać nowe ładunki, zainfekowane systemy mogą być wykorzystywane do różnych celów, w tym kradzieży danych, zbierania poświadczeń, a nawet przeprowadzania dodatkowych ataków na inne cele. Połączenie ukrycia, trwałości i modułowości sprawia, że TorNet jest potężnym narzędziem w rękach cyberprzestępców.

Szersze trendy w zagrożeniach opartych na poczcie e-mail

Pojawienie się TorNet następuje w obliczu szerszego wzrostu zagrożeń e-mailowych, które wykorzystują wyrafinowane techniki unikania. Ostatnie badania podkreślają coraz większe poleganie na „ukrytym saltingu tekstu”, metodzie, która manipuluje formatowaniem HTML, aby ominąć mechanizmy filtrowania wiadomości e-mail. Poprzez wstawianie niezauważalnych wizualnie znaków do tekstu wiadomości e-mail atakujący mogą oszukać filtry spamu i narzędzia bezpieczeństwa, które opierają się na wykrywaniu na podstawie słów kluczowych.

W miarę jak kampanie phishingowe stają się coraz bardziej zaawansowane, organizacje muszą wdrażać solidne środki bezpieczeństwa. Ulepszanie technik filtrowania wiadomości e-mail w celu wykrywania ukrytego tekstu salting i analizowania treści wiadomości pod kątem nietypowych właściwości HTML może znacznie poprawić wskaźniki wykrywania. Ponadto przyjęcie podejścia do wykrywania podobieństwa wizualnego może pomóc w identyfikacji fałszywych wiadomości e-mail zaprojektowanych w celu naśladowania legalnej komunikacji.

Wzmocnienie obrony przed TorNet i podobnymi zagrożeniami

Podczas gdy zależność TorNet od sieci TOR stanowi wyzwanie dla tradycyjnych narzędzi bezpieczeństwa, organizacje mogą podjąć proaktywne kroki w celu złagodzenia ryzyka. Wzmocnienie rozwiązań wykrywania i reagowania na punkty końcowe (EDR), monitorowanie nietypowego ruchu sieciowego i ograniczenie dostępu do usług anonimizujących, takich jak TOR, może zmniejszyć ryzyko naruszenia.

Świadomość użytkownika odgrywa również kluczową rolę w obronie. Pracownicy powinni być przeszkoleni w zakresie rozpoznawania wiadomości e-mail phishingowych, szczególnie tych zawierających nieoczekiwane załączniki lub żądania pilnych transakcji finansowych. Wdrożenie wielowarstwowych strategii bezpieczeństwa, które łączą analizę behawioralną, wykrywanie anomalii i zaawansowaną inteligencję zagrożeń, może pomóc organizacjom wyprzedzać rozwijające się cyberzagrożenia.

Ostatnie przemyślenia

TorNet Backdoor to niepokojący rozwój cyberprzestępczości motywowanej finansowo, wykorzystujący TOR do ukrywania się i wytrwałości. Poprzez osadzanie się w systemach za pomocą kampanii phishingowych i stosowanie technik unikania, zapewnia atakującym ukryty kanał do wykonywania złośliwych operacji. W miarę jak zagrożenia związane z pocztą e-mail nadal ewoluują, firmy i osoby prywatne muszą zachować czujność i przyjąć kompleksowe środki bezpieczeństwa, aby chronić swoje środowiska cyfrowe przed pojawiającymi się zagrożeniami.