A Linux variant of the GoGra backdoor uses legitimate Microsoft infrastructure, relying on an Outlook inbox for stealthy payload delivery.

A Linux variant of the GoGra backdoor uses legitimate Microsoft infrastructure, relying on an Outlook inbox for stealthy payload delivery.

A Linux variant of the GoGra backdoor uses legitimate Microsoft infrastructure, relying on an Outlook inbox for stealthy payload delivery. [...]

New GoGra Linux malware linked to Harvester APT targets systems in South Asia, using fake PDFs and Microsoft APIs for covert command and control.

Harvester has developed a new Linux variant of its GoGra backdoor that abuses the Microsoft Graph API and Outlook mailboxes as a covert C2 channel, using hardcoded Azure AD application credentials to poll mailboxes and execute AES-encrypted tasks. Symantec and Carbon Black link the Linux implant to a prior Windows GoGra campaign, showing cross-platform code reuse, identical typos, and tailored decoy documents targeting South Asia. #GoGra #Harvester

Follow us on Bluesky, Twitter (X), Mastodon and Facebook at @Hackread

👣 walking from China🇨🇳 to Germany🇩🇪 📕 books out in German, Chinese, Russian 🐈 Coco, Toto, and Gogra are saying hi 🍌 we want bananas

The threat actor known as Harvester has been attributed to a new Linux version of its GoGra backdoor deployed as part of attacks likely targeting entities in South Asia. "The malware uses the legitimate Microsoft Graph API and Outlook mailboxes as a covert command-and-control (C2) channel, allowing it to bypass traditional perimeter network defenses," the Symantec and Carbon Black Threat Hunter

Pesquisadores da Symantec e da equipe Carbon Black Threat Hunter, da Broadcom, identificaram uma versão Linux do backdoor GoGra, desenvolvida pelo grupo ciberespião Harvester, vinculado a um Estado. O malware usa a Microsoft Graph API e uma pasta de caixa de entrada do Outlook para receber comandos dos operadores, tornando o tráfego malicioso indistinguível de comunicações legítimas com servidores da Microsoft. O GoGra acessa a pasta a cada dois segundos, procura e-mails com assunto iniciado por "Input", descriptografa o conteúdo com AES-CBC e executa os comandos diretamente no terminal Linux. Após a execução, os e-mails são apagados. A análise revelou que as versões Linux e Windows do malware compartilham a mesma base de código, chave de criptografia e até erros de programação, indicando um único desenvolvedor. As primeiras amostras foram enviadas ao VirusTotal a partir da Índia e do Afeganistão, regiões historicamente visadas pelo Harvester desde pelo menos 2021.

A Linux variant of the GoGra backdoor uses legitimate Microsoft infrastructure, relying on an Outlook inbox for stealthy payload delivery. [...]

The threat actor known as Harvester has been attributed to a new Linux version of its GoGra backdoor deployed as part of attacks likely targeting entities in South Asia. "The malware uses the legitimate Microsoft Graph API and Outlook mailboxes as a covert command-and-control (C2) channel, allowing it to bypass traditional perimeter network defenses," the Symantec and Carbon Black Threat Hunter

New GoGra Linux malware linked to Harvester APT targets systems in South Asia, using fake PDFs and Microsoft APIs for covert command and control.

Discover GoGra, a new Go-based backdoor targeting media, and learn about the rising trend of cloud-exploiting malware in cybersecurity.

Um grupo de ciberespionagem ligado a um Estado-nação desenvolveu uma versão Linux do backdoor GoGra que usa a Microsoft Graph API e uma caixa de entrada do Outlook. O objetivo é enviar comandos maliciosos a máquinas comprometidas. A descoberta foi feita pela equipe Symantec e Carbon Black Threat Hunter Team, da Broadcom, e representa uma expansão significativa das capacidades do grupo conhecido como Harvester. ## Infraestrutura legítima usada como disfarce O GoGra abusa de serviços legítimos da Microsoft para se camuflar no tráfego corporativo comum. O malware usa credenciais do Azure AD inseridas diretamente no código para obter tokens OAuth2 e então acessa uma pasta específica da caixa de entrada via Graph API, procurando por e-mails com comandos. Malware usa infraestrutura legítima da Microsoft para camuflar comandos enviados a máquinas comprometidas. Essa abordagem é chamada de canal C2 (comando e controle) encoberto, ou seja, um mecanismo pelo qual o invasor envia instruções à máquina infectada sem que esse tráfego pareça suspeito. Isso porque as comunicações passam pelos servidores da própria Microsoft, tornando a detecção por firewalls e sistemas de monitoramento de rede muito mais difícil. ## Pasta "Zomato Pizza" e comandos criptografados O backdoor faz consultas a uma pasta de e-mail chamada "Zomato Pizza" a cada dois segundos, procurando mensagens com o assunto iniciado pela palavra "Input". Ao encontrar um e-mail, descriptografa o corpo da mensagem, que está codificado em base64 com criptografia AES-CBC, e executa o conteúdo diretamente no sistema via terminal Linux (/bin/bash -c). Após a execução, o malware apaga as mensagens da caixa de entrada para não deixar rastros. Os resultados dos comandos são criptografados e enviados de volta ao operador pelo mesmo canal. GoGra apaga rastros após execução para dificultar a detecção por ferramentas de segurança. O nome da pasta é uma referência a um restaurante de delivery localizado em Hyderabad, na Índia. A versão Windows do mesmo malware usava uma pasta chamada "Dragan Dash", também associada ao mesmo estabelecimento, um detalhe que contribuiu para ligar as duas versões durante a análise. ## Versão Linux e Windows compartilham o mesmo desenvolvedor Os pesquisadores identificaram que as variantes Linux e Windows do GoGra têm uma base de código quase idêntica. Ambas usam a mesma chave AES, a mesma lógica de C2 e compartilham até erros de codificação idênticos, o que indica que foram escritas pelo mesmo desenvolvedor. As diferenças se limitam à arquitetura do sistema operacional, ao intervalo de tempo entre as consultas e aos nomes das pastas de e-mail usadas para a entrega dos comandos. Variantes Linux e Windows do backdoor compartilham base de código e erros de programação idênticos, segundo a Symantec. ## Harvester mira sul da Ásia desde pelo menos 2021 O grupo Harvester está ativo desde pelo menos 2021 e usa tanto ferramentas personalizadas quanto utilitários públicos. Um de seus instrumentos conhecidos é o backdoor Graphon, que também usa infraestrutura da Microsoft para comunicação C2 e apresenta semelhanças com o GoGra. As primeiras amostras do novo malware foram enviadas ao VirusTotal a partir de dispositivos na Índia e no Afeganistão. O uso de documentos chamariz em idiomas locais reforça que a campanha foi direcionada especificamente a alvos na região. Nenhuma vítima confirmada foi identificada até o momento, mas os pesquisadores da Symantec concluem que o Harvester mantém interesse persistente na região para fins de espionagem. Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

Harvester has deployed a new Linux variant of its GoGra backdoor that leverages the Microsoft Graph API and Outlook mailboxes as a covert C2 channel. Symantec and Carbon Black tied artifacts to India and Afghanistan and noted the implant polls an Outlook folder named "Zomato Pizza" for Base64-encoded commands before executing...

Symantec researchers found a Linux variant of the GoGra backdoor that uses hardcoded Azure AD credentials and the Microsoft Graph API to stealthily pull commands from an Outlook mailbox. Developed by the state-linked Harvester group, the backdoor persists via systemd and an XDG autostart entry, decrypts AES-CBC/base64 commands from a "Zomato Pizza" folder (subject "Input"), executes them, returns AES-encrypted results (subject "Output"), and deletes the original command emails. #GoGra #Harvester