Ένα backdoor με το όνομα Msupedge χρησιμοποιήθηκε για μια κυβερνοεπίθεση εναντίον ενός πανεπιστημίου στην Ταϊβάν. Πιστεύεται ότι η ανάπτυξη του backdoor έγινε μέσω της εκμετάλλευσης μιας ευπάθειας που αποκαλύφθηκε πρόσφατα και επηρεάζει τη γλώσσα προγραμματισμού PHP.
“Το πιο αξιοσημείωτο χαρακτηριστικό αυτού του backdoor είναι ότι επικοινωνεί με έναν διακομιστή εντολών και ελέγχου (C&C) μέσω DNS traffic“, δήλωσε η ομάδα Symantec Threat Hunter, μέρος της Broadcom.
Δείτε επίσης: Νέο Windows Backdoor BITSLOTH εκμεταλλεύεται BITS για κρυφή επικοινωνία
Η προέλευση του backdoor δεν είναι ακόμα γνωστή. Ωστόσο, λέγεται ότι μια κρίσιμη ευπάθεια στην PHP (CVE-2024-4577, βαθμολογία CVSS: 9,8), μπορεί να διευκόλυνε την ανάπτυξη του Msupedge. Η ευπάθεια αυτή μπορεί να χρησιμοποιηθεί για απομακρυσμένη εκτέλεση κώδικα.
Το backdoor είναι ένα dynamic-link library (DLL), εγκατεστημένο στα paths “csidl_drive_fixed\xampp\” και “csidl_system\wbem\”. Ένα από τα DLL, το wuplog.dll, εκκινείται από τον Apache HTTP server (httpd). Το parent process για το δεύτερο DLL δεν είναι ακόμα σαφές.
Όπως είπαμε και παραπάνω, το Msupedge backdoor βασίζεται σε DNS tunneling για επικοινωνία με τον διακομιστή C&C, με κώδικα που βασίζεται στο εργαλείο ανοιχτού κώδικα dnscat2.
“Λαμβάνει εντολές εκτελώντας name resolution“, σημείωσε η Symantec. “Το Msupedge όχι μόνο λαμβάνει εντολές μέσω DNS traffic, αλλά χρησιμοποιεί επίσης το resolved IP address του διακομιστή C&C (ctl.msedeapi[.]net) ως εντολή“.
Δείτε επίσης: Κακόβουλα αρχεία nmp κρύβουν backdoor code
Οι εντολές που υποστηρίζονται από το Msupedge περιλαμβάνουν δημιουργία διαδικασιών, λήψη αρχείων, δημιουργία προσωρινών αρχείων, διαγραφή αρχείων και άλλα.
Προστασία από backdoor
Οι οργανισμοί μπορούν να προστατεύσουν τα δίκτυά τους από το Msupedge backdoor, εφαρμόζοντας διάφορες στρατηγικές ασφάλειας. Καταρχάς, είναι σημαντικό να διατηρούν τα συστήματά τους ενημερωμένα. Αυτό σημαίνει ότι θα πρέπει να εγκαθιστούν τακτικά τις τελευταίες ενημερώσεις και διορθώσεις ασφαλείας σε όλα τα λειτουργικά συστήματα και τις εφαρμογές.
Επιπλέον, οι οργανισμοί πρέπει να χρησιμοποιούν λύσεις ασφάλειας που περιλαμβάνουν την ανίχνευση εισβολών και την προστασία από κακόβουλο λογισμικό. Αυτές οι λύσεις μπορούν να βοηθήσουν στην ανίχνευση και την αποτροπή των επιθέσεων.
Δείτε επίσης: Ο server ενός προμηθευτή ERP παραβιάστηκε για διανομή του Xctdoor backdoor
Η εκπαίδευση του προσωπικού είναι επίσης κρίσιμη για την αποφυγή του Msupedge backdoor. Οι εργαζόμενοι πρέπει να γνωρίζουν τους κινδύνους που συνδέονται με την κυβερνοασφάλεια και τις τακτικές που χρησιμοποιούν οι επιτιθέμενοι, όπως το phishing.
Τέλος, πρέπει να εφαρμόζεται η αρχή της ελάχιστης πρόσβασης. Αυτό σημαίνει ότι οι χρήστες και οι συσκευές πρέπει να έχουν μόνο τις απαραίτητες άδειες πρόσβασης που χρειάζονται για την εκτέλεση των καθηκόντων τους.
