Η διαβόητη ομάδα απειλών FIN7, γνωστή και με το ψευδώνυμο Savage Ladybug, συνεχίζει να αποτελεί σημαντικό κίνδυνο για τα επιχειρηματικά περιβάλλοντα μέσω μιας ολοένα και πιο εξελιγμένης καμπάνιας που διανέμει Windows SSH backdoor. Η ομάδα έχει ενεργά αναπτύξει αυτόν τον εξελιγμένο μηχανισμό backdoor για να καθιερώσει επίμονη απομακρυσμένη πρόσβαση και να διευκολύνει τις επιχειρήσεις εξαγωγής δεδομένων.
Πρώτη φορά τεκμηριώθηκε το 2022 και έχει παραμείνει σε μεγάλο βαθμό αμετάβλητο στη βασική του λειτουργικότητα. Αυτό δείχνει ότι η FIN7 έχει βρει μια εξαιρετικά αποτελεσματική μεθοδολογία επίθεσης, που συνεχίζει να αποφεύγει τους παραδοσιακούς μηχανισμούς ανίχνευσης.
Η καμπάνια αξιοποιεί έναν συνδυασμό εκτέλεσης batch script και νόμιμων εργαλείων OpenSSH για να δημιουργήσει ένα κρυφό κανάλι επικοινωνίας μεταξύ των συστημάτων που έχουν παραβιαστεί και της υποδομής που ελέγχεται από τους επιτιθέμενους.
Δείτε επίσης: Καρτέλ DragonForce: Νέες μέθοδοι επίθεσης
Εκμεταλλευόμενοι την εμπιστοσύνη, που συνήθως αποδίδεται στα πρωτόκολλα SSH, οι χειριστές της FIN7 μπορούν να καθιερώσουν reverse SSH και SFTP connections που παρακάμπτουν τη συμβατική παρακολούθηση δικτύου και εμφανίζονται ως νόμιμη διαχειριστική κίνηση.
Αυτή η τεχνική δείχνει ότι η ομάδα κατανοεί πλήρως τα εργαλεία διαχείρισης συστημάτων και έχει την ικανότητα να μολύνει ευρέως διαθέσιμα εργαλεία για κακόβουλους σκοπούς.
Οι αναλυτές και οι ερευνητές της PRODAFT εντόπισαν ότι το κακόβουλο λογισμικό χρησιμοποιεί ένα install.bat script, σε συνδυασμό με τα OpenSSH components, για να αυτοματοποιήσει τη διαδικασία ανάπτυξης και διαμόρφωσης. Αυτή η προσέγγιση μειώνει σημαντικά την επιχειρησιακή πολυπλοκότητα για τους επιτιθέμενους, ενώ διατηρεί χαμηλό προφίλ στα αρχεία καταγραφής ασφαλείας και στα συστήματα παρακολούθησης συμβάντων.
Δείτε επίσης: Οι χάκερ ‘SmudgedSerpent’ στοχεύουν ειδικούς πολιτικής των ΗΠΑ
Μηχανισμός persistence και τεχνικές αποφυγής ανίχνευσης
Η στρατηγική persistence που χρησιμοποιείται από το SSH backdoor της FIN7 αντιπροσωπεύει μια ιδιαίτερα ύπουλη πτυχή της απειλής. Με την καθιέρωση σημείων πρόσβασης SSH στα παραβιασμένα συστήματα Windows, οι επιτιθέμενοι εξασφαλίζουν συνεχή πρόσβαση ακόμη και μετά την αποκατάσταση των αρχικών διαδρομών παραβίασης.
Η διαμόρφωση του reverse SSH tunnel επιτρέπει στους χειριστές να διατηρούν την επικοινωνία εντολών και ελέγχου μέσω κρυπτογραφημένων καναλιών, καθιστώντας σημαντικά πιο δύσκολη την ανίχνευση κακόβουλων μοτίβων traffic από τις ομάδες ασφαλείας.
Η δυνατότητα του backdoor να εκτελεί τόσο λειτουργίες SSH όσο και SFTP παρέχει στους επιτιθέμενους πολλαπλές διαδρομές για εξαγωγή δεδομένων και πλευρική κίνηση εντός των περιβαλλόντων δικτύου.
Δείτε επίσης: Χάκερ εκμεταλλεύονται το OneDrive.exe για εκτέλεση αυθαίρετου κώδικα
Οι ερευνητές ασφαλείας έχουν παρατηρήσει ότι το κακόβουλο λογισμικό διατηρεί ελάχιστα modification signatures και βασίζεται σε νόμιμα συστατικά συστήματος για να αποφύγει την ενεργοποίηση behavioral detection rules.
Οι οργανισμοί πρέπει να εφαρμόσουν ισχυρούς ελέγχους πρόσβασης SSH, να παρακολουθούν για ανώμαλα μοτίβα σύνδεσης SSH και να εφαρμόζουν τμηματοποίηση δικτύου για να αντιμετωπίσουν αποτελεσματικά αυτήν την επίμονη απειλή.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
