SysJoker-bagdør på tværs af platforme angriber Windows, macOS og Linux
Intezer eksperter har opdaget en ny cross-platform SysJoker bagdør, der bruges mod enheder på Windows, Linux og macOS som en del af en cyberspionkampagne.
Ifølge forskere, malwaren har været aktiv siden mindst anden halvdel af 2021. Malwaren blev først opdaget i december 2021 under et angreb på en Linux-baseret webserver ejet af en unavngiven uddannelsesinstitution.
Malwaren er skrevet i C++ og hver variant er tilpasset til et specifikt operativsystem. Imidlertid, alle variationer opdages ikke af sikkerhedsløsningerne præsenteret på VirusTotal.
På Windows, SysJoker bruger en dropper på første niveau i DLL-format, som derefter udfører PowerShell-kommandoer og gør følgende: Henter SysJoker ZIP-filen fra GitHub depot, udtrækker det til C:\ProgramDataRecoverySystem, og udfører nyttelasten. Malwaren er inaktiv i omkring to minutter, før den opretter en ny mappe og kopierer sig selv som Intel Graphics Common User Interface Service (igfxCUIService.exe).
Efter indsamling af data, malwaren vil få fodfæste i systemet ved at tilføje en ny registreringsnøgle (HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun). Det næste trin er det førnævnte opkald til administrationsserveren, som bruger et hardkodet link til Google Drev.
Når de oplysninger, der indsamles under de første stadier af infektion, sendes til C&C server, den reagerer med en unik token, som senere tjener som identifikator for den inficerede maskine. Også, kontrolserveren kan beordre bagdøren til at installere yderligere malware, udføre specifikke kommandoer på den inficerede enhed, eller slette sig selv. Det bemærkes, at de sidste to funktioner endnu ikke er fuldt implementeret.
Forskerne skriver, at Linux- og macOS-versionerne ikke har en DLL-dropper, men udfører generelt de samme ondsindede handlinger på den inficerede enhed.
Du kunne være interesseret i at vide hvad Det Capoae malware installerer et bagdørs-plugin på WordPress-websteder, og det Ny XLoader malware stjæler legitimationsoplysninger fra macOS og Windows.
