Crowdoor Backdoor é uma ameaça perigosa que visa estudos de direitos humanos

Uma campanha cibernética orquestrada pelo grupo de hackers Tropic Trooper tem causado impacto, especialmente com seu foco em entidades governamentais no Oriente Médio e na Malásia. O Tropic Trooper, ativo desde 2011 e conhecido por mirar setores críticos como saúde e indústrias de alta tecnologia, agora está de olho em instituições envolvidas em estudos de direitos humanos. Esses ataques destacam a ameaça persistente do grupo, particularmente com a implantação do backdoor Crowdoor, uma variante do malware SparrowDoor anteriormente conhecido.

A Kaspersky detectou pela primeira vez essa última onda de ataques em junho de 2024, descobrindo o web shell China Chopper em servidores comprometidos executando a plataforma Umbraco CMS. Os invasores exploraram vulnerabilidades conhecidas em aplicativos da web como Adobe ColdFusion e Microsoft Exchange Server para entregar esse backdoor.

O que é Crowdoor Backdoor?

Crowdoor é um implante de malware sofisticado usado pelo Tropic Trooper para se infiltrar em sistemas alvos. Observado pela primeira vez em junho de 2023, esse backdoor funciona principalmente como um carregador, derrubando a infame ferramenta Cobalt Strike para manter a persistência. O Crowdoor permite que os invasores:

• Coletar informações confidenciais
• Lance um projétil reverso para manter o controle
• Apagar vestígios de outros arquivos de malware
• Terminar a si mesmo para evitar a detecção

O Tropic Trooper usa várias técnicas, como side-loading de DLL, evasão de defesa e movimento lateral para maximizar o impacto do malware. Sua presença em entidades governamentais focadas em estudos de direitos humanos sinaliza uma grave ameaça à segurança cibernética que exige atenção imediata.

Como remover Crowdoor Backdoor

Se você suspeita que seu sistema foi infectado pelo backdoor Crowdoor, tomar medidas rápidas é crucial para evitar mais danos. Aqui está um guia passo a passo sobre como detectar e remover o malware:

1. Isole o sistema infectado

Desconecte imediatamente o sistema comprometido da rede. Esta ação impede que o malware se comunique com seu servidor de comando e controle ou se espalhe para outros sistemas dentro da rede.

2. Execute uma verificação abrangente de malware

Utilize programas anti-malware confiáveis para escanear o sistema infectado. Algumas das melhores ferramentas para detectar e remover ameaças avançadas como Crowdoor incluem:

• Malwarebytes
• Segurança da Internet ESET
• Bitdefender Total Security

Essas ferramentas devem ser atualizadas regularmente para detectar novas variantes de malware.

3. Inspecione se há arquivos DLL suspeitos

O Crowdoor frequentemente usa técnicas de side-loading de DLL para evitar a detecção. Investigue se há arquivos DLL suspeitos ou não autorizados, especialmente em diretórios associados a instalações legítimas de software.

4. Verifique se há balizas de ataque de cobalto

Como o Crowdoor descarta o Cobalt Strike, é essencial monitorar o sistema para beacons do Cobalt Strike. Ferramentas de segurança como Wireshark ou Zeek podem ser úteis para identificar a atividade do beacon que se comunica com a infraestrutura do invasor.

5. Remova entradas maliciosas

Revise manualmente as entradas do registro, programas de inicialização e tarefas agendadas que podem ter sido alteradas para manter a persistência. Remova quaisquer entradas suspeitas para garantir que o Crowdoor não reinfecte o sistema na reinicialização.

6. Aplique patches de segurança

O backdoor Crowdoor é normalmente entregue explorando vulnerabilidades conhecidas em aplicativos da web como Adobe ColdFusion e Microsoft Exchange Server. Aplique os patches de segurança mais recentes (como CVE-2023-26360 e CVE-2021-34473) para evitar mais exploração.

7. Reinstale o sistema operacional

Em casos em que a infecção está profundamente enraizada, uma reinstalação completa do SO pode ser necessária. Certifique-se de fazer backup de arquivos importantes (depois que eles forem escaneados em busca de malware) e reinstale o sistema para garantir que não haja vestígios do backdoor Crowdoor.

Fique protegido

O Crowdoor faz parte de um cenário de ameaças maior, onde agentes de ameaças de língua chinesa continuam a explorar vulnerabilidades em sistemas de gerenciamento de conteúdo, visando áreas sensíveis como pesquisa de direitos humanos. Para proteger seu sistema, garanta atualizações regulares para todos os softwares, habilite firewalls e implante soluções avançadas de detecção de ameaças. Ao seguir essas diretrizes, você pode minimizar o risco de ser vítima de ataques de malware sofisticados como o Crowdoor.