Tropidoor-Hintertür

Tropidoor ist ein bedrohliches Programm, das als Backdoor eingestuft wird. Backdoors sind eine Art von Schadsoftware, die unbefugten Zugriff auf ein infiziertes System ermöglicht. Einige Varianten können zudem zusätzliche Schadsoftware oder -komponenten herunterladen und installieren, was die Schwere eines Angriffs erhöht.

Tropidoors Verbindung zu BeaverTail und nordkoreanischen Bedrohungsakteuren

Tropidoor wurde in Cyberangriffskampagnen zusammen mit einer Downloader-Malware und einem weiteren Schadprogramm namens BeaverTail beobachtet. Letzteres steht in Verbindung mit nordkoreanischen Bedrohungsakteuren und wurde eingesetzt, um Entwickler, insbesondere in Südkorea, ins Visier zu nehmen.

So funktioniert Tropidoor: Phishing-Kampagnen zum Thema Personalbeschaffung

Cyberkriminelle verbreiteten Tropidoor mithilfe von Phishing-E-Mails mit dem Thema Stellenvermittlung. Diese betrügerischen Nachrichten gaben sich als Stellenangebote der DEV-Community (dev.to) aus und enthielten Links zu einem BitBucket-Repository mit Schadcode. Das Repository enthielt BeaverTail und den Downloader, der Tropidoor ausführt.

Über die DEV-Community hinaus: LinkedIn und andere Angriffsvektoren

BeaverTail wurde durch Phishing-Kampagnen auf LinkedIn weit verbreitet und nutzte gefälschte Stellenangebote als Köder. Obwohl diese Kampagnen Nutzer weltweit ins Visier nahmen, scheint sich die Mehrheit der Opfer in Südkorea zu befinden.

Taktiken zur Verbreitung von Malware: Phishing, Malvertising und mehr

Malware wie Tropidoor wird normalerweise wie folgt verbreitet:

• Phishing-E-Mails mit unsicheren Anhängen oder Links
• Drive-by-Downloads von kompromittierten Websites
• Malvertising (unsichere Werbung, die Downloads auslöst)
• Nicht vertrauenswürdige Softwarequellen, wie Freeware-Sites und P2P-Netzwerke
• Raubkopien von Software und illegale Aktivierungstools (Cracks)
• Gefälschte Software-Updates
• Selbstverbreitungsmechanismen über lokale Netzwerke oder USB-Sticks

BitBucket-Täuschung: Die Phishing-Taktik

Ein weiterer Phishing-Versuch umfasste E-Mails, die sich als Unternehmen namens AutoSquare ausgaben. Die Opfer wurden angewiesen, ein BitBucket-Projekt zu klonen. Dieses enthielt ein npm-Paket, das sowohl BeaverTail als auch eine DLL-Downloader-Malware namens car.dll enthielt. Dieser Downloader wurde über einen JavaScript-basierten Stealer und Loader ausgeführt.

Tropidoors Fähigkeiten: Eine mächtige Cyberwaffe

Nach der Ausführung arbeitet Tropidoor im Speicher und interagiert mit seinem Command and Control (C2)-Server. Dies ermöglicht Folgendes:

• Sammeln Sie Systeminformationen (Gerätename, Betriebssystemdetails, Hardwareinformationen).
• Dateien verwalten (suchen, löschen, herunterladen, sammeln)
• Ausführen und Beenden von Prozessen
• Screenshots aufnehmen
• Schadcode in laufende Prozesse einschleusen
• Laden und Ausführen von Nutzdaten im Speicher

Eine sich entwickelnde Bedrohung: Die Zukunft von Tropidoor

Malware-Entwickler verbessern ihre Tools regelmäßig, und zukünftige Versionen von Tropidoor könnten neue Funktionen einführen. Diese Entwicklung macht es für Cybersicherheitsteams unerlässlich, wachsam gegenüber neuen Bedrohungen zu bleiben.

Die Lazarus-Gruppenverbindung: Eine bekannte Taktik

Tropidoor weist Ähnlichkeiten mit LightlessCan auf, einer anderen Schadsoftware der Lazarus Group , einer mit Nordkorea verbundenen Hackerorganisation. Wie sein Vorgänger BLINDINGCAN (auch bekannt als AIRDRY oder ZetaNile) implementiert Tropidoor direkt Windows-Befehle wie Schtasks, Ping und Reg, um sich in legitime Systemaktivitäten einzufügen.

Schützen Sie sich: So bleiben Sie vor Tropidoor-Angriffen sicher

Um das Infektionsrisiko zu verringern, sollten Benutzer:

• Seien Sie vorsichtig mit E-Mail-Anhängen und Links
• Vermeiden Sie das Herunterladen von Software aus nicht überprüften Quellen
• Halten Sie Sicherheitsfixes und Software auf dem neuesten Stand
• Verwenden Sie sichere, eindeutige Passwörter

• Setzen Sie seriöse Anti-Malware- und Endpunktschutz-Tools ein

Indem sie wachsam bleiben und bewährte Verfahren zur Cybersicherheit befolgen, können sich Einzelpersonen und Organisationen besser gegen komplexe Bedrohungen wie Tropidoor verteidigen.