Backdoor-ul Nord-Coreean ROOFDECK Folosește Profiluri Nostr pentru a Ascunde Serverele C2 de Malware

Cercetătorii în securitate au identificat o nouă variantă a backdoor-ului ROOFDECK, atribuită actorilor de amenințări din Coreea de Nord, care utilizează o metodă nouă pentru a-și ascunde serverele de command and control (C2). În loc să se bazeze pe canale C2 tradiționale, malware-ul folosește acum protocolul descentralizat Nostr (Notes and Other Stuff). Acest lucru permite atacatorilor să încorporeze comenzi C2 în date aparent inofensive din profilurile Nostr, făcând extrem de dificilă distincția între traficul malițios și activitatea legitimă a utilizatorilor din rețea.

Implementarea tehnică implică stabilirea de conexiuni de către malware-ul ROOFDECK la releele Nostr și preluarea datelor din profiluri specifice de utilizator. Aceste profiluri sunt create cu atenție de către atacatori pentru a conține comenzi C2 codificate. Malware-ul decodează apoi aceste comenzi pentru a primi instrucțiuni suplimentare, cum ar fi descărcarea de payload-uri suplimentare sau executarea de cod arbitrar pe sistemul compromis. Această abordare ocolește multe instrumente tradiționale de monitorizare a securității rețelei, concepute pentru a detecta anomalii în protocoalele C2 standard.

Această descoperire subliniază o tendință în creștere a actorilor de amenințări sponsorizați de stat de a adopta tehnologii descentralizate în scopuri malițioase, reprezentând o provocare semnificativă pentru apărarea cibernetică. Utilizarea Nostr de către ROOFDECK indică necesitatea ca soluțiile de securitate să evolueze și să se adapteze la aceste noi tactici de evaziune, necesitând potențial o inspecție mai aprofundată a traficului criptat și a interacțiunilor în rețele descentralizate.