ClickCease Alerta Zardoor Backdoor: los autores de la amenaza apuntan a la caridad islámica

Tabla de contenidos

Únase a nuestro popular boletín

Únase a más de 4.500 profesionales de Linux y el código abierto.

2 veces al mes. Sin spam.

Alerta Zardoor Backdoor: los autores de la amenaza apuntan a la caridad islámica

Wajahat Raja

21 de febrero de 2024 - Equipo de expertos TuxCare

En recientes inteligencia sobre ciberamenazas una organización islámica sin ánimo de lucro no identificada con sede en Arabia Saudí ha sido víctima de una campaña de ciberespionaje encubierta que emplea una puerta trasera desconocida hasta ahora llamada Zardoor. Descubierto por Cisco Talos en mayo de 2023el puerta trasera Zardoor ha persistido probablemente desde marzo de 2021, con un único objetivo identificado hasta ahora, lo que hace temer posibles víctimas por descubrir.

 

Zardoor Backdoor - Tácticas sigilosas y acceso prolongado


Los investigadores de seguridad Jungsoo An, Wayne Lee y Vanja Svajcer arrojaron luz sobre las tácticas de los actores de la amenaza, haciendo hincapié en su uso de binarios que viven fuera del territorio (LoLBins) para desplegar puertas traseras, establecer
mando y control (C2)y mantener un acceso prolongado sin levantar sospechas. Esto hace saltar las alarmas sobre la sofisticada naturaleza de tales ataques selectivos y la capacidad del agente de la amenaza para pasar desapercibido durante mucho tiempo.


Detalles de la intrusión de Zardoor Backdoor


La intrusión cibernética en la organización benéfica islámica implicó la exfiltración periódica de datos, que se producía aproximadamente dos veces al mes. Aunque el método exacto de acceso inicial sigue siendo desconocido, los atacantes utilizaron estratégicamente Zardoor para la persistencia, empleando herramientas de proxy inverso de código abierto como Fast Reverse Proxy (FRP), sSocks y Venom para establecer conexiones de comando y control.
Las amenazas persistentes avanzadas (APT) plantean importantes retos a los profesionales de la ciberseguridad debido a su naturaleza sigilosa y prolongada.


Movimiento lateral y despliegue de herramientas


Una vez establecidas las conexiones, la amenaza utilizaba Windows Management Instrumentation (WMI) para moverse lateralmente dentro del entorno comprometido. Los investigadores observaron el despliegue de Zardoor, junto con otras herramientas, a través de procesos generados en el sistema objetivo, ejecutando comandos recibidos desde el C2. Este método permitía al atacante navegar por la red evitando la
la detección del malware.


Vía de infección y módulos de puerta trasera


La vía de infección implica un
componente dropper que despliega una biblioteca maliciosa de vínculos dinámicos ("oci.dll"), responsable de distribuir dos módulos de puerta trasera, a saber "zar32.dll y "zor32.dll". El primero sirve como backdoor central para la comunicación de comando y control, mientras que el segundo asegura el despliegue de "zar32.dll" con privilegios de administrador. Las capacidades de Zardoor incluyen la exfiltración de datos, la ejecución remota de ejecutables y shellcode obtenidos, la actualización de direcciones IP C2 y la autoeliminación del host.


Retos de la atribución


Los orígenes del actor de la amenaza siguen siendo imprecisos y no muestran solapamientos tácticos con actores conocidos de los que se haya informado públicamente. A pesar de ello, se considera que la campaña es obra de un
"agente de amenazas avanzado". lo que subraya la sofisticación y experiencia de la operación.


Técnicas de persistencia encubierta


Para mantener la persistencia, el autor de la amenaza empleó proxies inversos registrados como tareas programadas y estableció el reenvío remoto de puertos mediante SSH. Este ingenioso enfoque permitió una conexión constante y encubierta a la red comprometida, permitiendo la exfiltración de datos aproximadamente dos veces al mes. 

El nivel de sofisticación demostrado en la creación de nuevas herramientas, la adaptación de las existentes y el aprovechamiento de binarios legítimos de Windows subraya la destreza del actor de la amenaza no identificado. La seguridad en el sector de la beneficencia es una preocupación fundamental para salvaguardar datos sensibles y mantener la confianza de donantes y beneficiarios.


Advertencia sobre el paisaje digital


A medida que nuestro mundo está más interconectado
ciberespionaje como Zardoor son un claro recordatorio de los peligros ocultos en el ámbito digital. Esta narrativa de sigilo y subterfugio pone de relieve la necesidad crítica de vigilancia y medidas de ciberseguridad robustas en el panorama actual en rápida evolución.


Conclusión


La campaña de ciberespionaje Zardoor, dirigida contra una organización benéfica islámica, pone de manifiesto la evolución de las tácticas de los actores de amenazas avanzadas en la era digital. Es importante que los usuarios tengan cuidado al descargar archivos de fuentes no fiables, ya que pueden contener
software malicioso.

A medida que las organizaciones se esfuerzan por proteger sus datos sensibles, resulta imperativo comprender y adaptarse a estas sofisticadas técnicas. Analizando tendencias de los ciberataques es esencial para anticiparse a las amenazas que evolucionan en el panorama digital actual. La historia de Zardoor sirve como llamada a la acción, instando a un esfuerzo colectivo para reforzar las defensas de ciberseguridad. defensas de ciberseguridad y estar un paso por delante de las amenazas de ciberseguridad en las sombras digitales.

Las fuentes de este artículo incluyen artículos en The Hacker News y BNN.

Resumen
Alerta Zardoor Backdoor: los autores de la amenaza apuntan a la caridad islámica
Nombre del artículo
Alerta Zardoor Backdoor: los autores de la amenaza apuntan a la caridad islámica
Descripción
Descubra cómo los actores de amenazas explotan la puerta trasera Zardoor para atacar a una organización benéfica islámica. Conozca las tácticas de ataque y sus implicaciones.
Autor
Nombre del editor
TuxCare
Logotipo de la editorial

¿Desea automatizar la aplicación de parches de vulnerabilidad sin reiniciar el núcleo, dejar el sistema fuera de servicio o programar ventanas de mantenimiento?

Más información sobre Live Patching con TuxCare

Conviértete en escritor invitado de TuxCare

Empezar

Correo

Únete a

4,500

Profesionales de Linux y código abierto

Suscríbase a
nuestro boletín