Badacze z Lab52 (S2 Grupo) odkryli nowego backdoora, NotDoor, wdrażanego przez wspieraną przez państwo rosyjskie grupę APT28 (Fancy Bear).
Najważniejsze ustalenia:
- Nadużywa makr Outlooka → monitoruje wiadomości e-mail pod kątem specjalnych ciągów wyzwalających, a następnie wykonuje polecenia atakującego.
- Możliwości backdoora → wykrada dane, przesyła złośliwe pliki i utrzymuje trwałą obecność w systemie.
- Taktyki ukrywania się → dostarczany przez DLL sideloading w pliku Microsoft OneDrive.exe, wyłącza ostrzeżenia o makrach i korzysta z zaciemnionego kodu.
- Mechanizm C2 → wykorzystuje wiadomości e-mail wczytujące wyzwalacze oraz usługi takie jak DNSHook do ukrytej komunikacji.
Dlaczego to ważne
Ta kampania pokazuje ciągłą ewolucję APT28 i jej zdolność do obchodzenia zabezpieczeń poprzez nadużywanie zaufanych aplikacji (Outlook, OneDrive). Pokazuje też, jak podmioty państwowe osadzają malware w codziennych narzędziach komunikacji, aby pozostać niewykrytymi.
Zalecenia
- Ogranicz lub wyłącz makra Outlooka, gdzie to możliwe.
- Monitoruj aktywność DLL sideloadingu.
- Wzmocnij bezpieczeństwo poczty e-mail i threat hunting, aby wykrywać anomalne zachowania Outlooka.
W Alcaeus Services pomagamy organizacjom wykrywać zaawansowane trwałe zagrożenia, zwiększać odporność na działania podmiotów wspieranych przez państwa i zabezpieczać platformy współpracy, takie jak Microsoft 365.
