Crowdoor Backdoor är ett farligt hot som riktar sig mot studier av mänskliga rättigheter

En cyberkampanj orkestrerad av hackergruppen Tropic Trooper har skapat vågor, särskilt med sitt fokus på statliga enheter i Mellanöstern och Malaysia. Tropic Trooper, verksam sedan 2011 och känd för att rikta in sig på kritiska sektorer som sjukvård och högteknologiska industrier, har nu siktet inställt på institutioner som är involverade i studier av mänskliga rättigheter. Dessa attacker belyser gruppens ihållande hot, särskilt med utplaceringen av Crowdoor-bakdörren, en variant av den tidigare kända SparrowDoor-skadliga programvaran.

Kaspersky upptäckte först denna senaste våg av attacker i juni 2024, och upptäckte China Choppers webbskal på komprometterade servrar som kör Umbraco CMS-plattformen. Angriparna utnyttjade kända sårbarheter i webbapplikationer som Adobe ColdFusion och Microsoft Exchange Server för att leverera denna bakdörr.

Vad är Crowdoor Backdoor?

Crowdoor är ett sofistikerat skadligt implantat som används av Tropic Trooper för att infiltrera riktade system. Denna bakdörr observerades första gången i juni 2023 och fungerar främst som en lastare, och släpper det ökända Cobalt Strike-verktyget för att bibehålla uthållighet. Crowdoor tillåter angripare att:

• Skörda känslig information
• Starta ett omvänt skal för att behålla kontrollen
• Radera spår av andra skadliga filer
• Avsluta sig själv för att undvika upptäckt

Tropic Trooper använder olika tekniker som DLL-sidoladdning, försvarsundandragande och sidorörelse för att maximera skadlig programvaras inverkan. Dess närvaro i statliga enheter fokuserade på studier av mänskliga rättigheter signalerar ett allvarligt hot mot cybersäkerhet som kräver omedelbar uppmärksamhet.

Hur man tar bort Crowdoor Backdoor

Om du misstänker att ditt system har infekterats av Crowdoor-bakdörren är det viktigt att vidta snabba åtgärder för att förhindra ytterligare skada. Här är en steg-för-steg-guide om hur du upptäcker och tar bort skadlig programvara:

1. Isolera det infekterade systemet

Koppla omedelbart bort det komprometterade systemet från nätverket. Den här åtgärden förhindrar skadlig programvara från att kommunicera med sin kommando-och-kontrollserver eller sprida sig till andra system inom nätverket.

2. Kör en omfattande skanning av skadlig programvara

Använd betrodda anti-malware-program för att skanna det infekterade systemet. Några av de bästa verktygen för att upptäcka och ta bort avancerade hot som Crowdoor inkluderar:

• Malwarebytes
• ESET Internet Security
• Bitdefender Total Security

Dessa verktyg bör uppdateras regelbundet för att upptäcka nyare varianter av skadlig programvara.

3. Inspektera efter misstänkta DLL-filer

Crowdoor använder ofta DLL-sidoladdningstekniker för att undvika upptäckt. Undersök om det finns misstänkta eller obehöriga DLL-filer, särskilt i kataloger som är associerade med legitima programvaruinstallationer.

4. Kontrollera om det finns Cobalt Strike Beacons

Eftersom Crowdoor släpper Cobalt Strike, är det viktigt att övervaka systemet för Cobalt Strike beacons. Säkerhetsverktyg som Wireshark eller Zeek kan vara användbara för att identifiera beacon-aktivitet som kommunicerar med angriparens infrastruktur.

5. Ta bort skadliga poster

Granska registerposter, startprogram och schemalagda uppgifter manuellt som kan ha ändrats för att bibehålla beständighet. Ta bort alla misstänkta poster för att säkerställa att Crowdoor inte återinfekterar systemet vid omstart.

6. Applicera säkerhetskorrigeringar

Crowdoor-bakdörren levereras vanligtvis genom att utnyttja kända sårbarheter i webbapplikationer som Adobe ColdFusion och Microsoft Exchange Server. Använd de senaste säkerhetskorrigeringarna (som CVE-2023-26360 och CVE-2021-34473) för att förhindra ytterligare exploatering.

7. Installera om operativsystemet

I fall där infektionen är djupt rotad kan en fullständig ominstallation av operativsystemet vara nödvändig. Se till att säkerhetskopiera viktiga filer (efter att de har skannats efter skadlig programvara) och installera om systemet för att säkerställa att inga spår av Crowdoor-bakdörren finns kvar.

Håll dig skyddad

Crowdoor är en del av ett större hotlandskap där kinesisktalande hotaktörer fortsätter att utnyttja sårbarheter i innehållshanteringssystem, inriktade på känsliga områden som forskning om mänskliga rättigheter. För att skydda ditt system, se till att all programvara uppdateras regelbundet, aktivera brandväggar och implementera avancerade lösningar för att upptäcka hot. Genom att följa dessa riktlinjer kan du minimera risken för att falla offer för sofistikerade skadliga attacker som Crowdoor.