זוהה כלי תקיפה נוסף בשימוש קבוצת התקיפה OilRig המכונה RGDoor
מאת: מערכת Telecom News, 1.2.18 ,13:40

עפ"י הדיווח, מטרת הכלי היא להוות גיבוי ל- Webshellבשם TwoFace הנמצא בשימוש הקבוצה, למקרה, שהארגון המותקף יצליח לזהותו ולהסירו.

בשנה האחרונה קבוצות תקיפה מתקדמות השתמשו ביותר משיטה אחת ברשת הנתקף כדי לשמר אחיזה ונגישות. במקרה זה, נראה, שקבוצת התקיפה OilRig משמרת את אחיזתה בשרתים הנתקפים ב-2 דרכים שונות: האחת Webshells והשנייה Backdoors.
 
אודות הפוגען
RGDoor הוא פוגען מסוג Backdoor המסוגל לבצע 3 פעולות:
 
 1) להעלות קבצים לשרת המותקף;
 2) להוריד קבצים מהשרת;
 3) להריץ פקודות בשורת הפקודה (Command Line) על השרת.
 
הכלי RGdoor פעיל בשנה האחרונה ונראה, שקבוצות תקיפה נוספות משתמשות בו.
 
בשונה מ-TwoFace, הפוגען RGdoor לא פועל באמצעות כתובות URL ספציפיות בשרת, אלא הוא קובץ DLL המתקין עצמו כמודול הרחבה של שרת ה-IIS, תכונה, שהשרת תומך בה החל מגרסה 7.0. התקשורת עם הכלי מתבצעת באמצעות מנגנון מבוסס Cookies.
 
הרחבה ופרטים נוספים על הכלי ניתן למצוא כאן.
 
אודות קבוצת התקיפה
קבוצת התקיפה OilRig פעילה בשנתיים האחרונות בתקיפות נגד מספר מדינות במזרח התיכון, בעיקר באמצעות דיוג ממוקד (Spear-Phishing). הקבוצה פועלת נגד מגוון רחב של מגזרים בהם: המגזר הממשלתי, הפיננסי, העסקי, אנרגיה, תחבורה, בריאות, טכנולוגיה, תקשורת ואקדמיה. המערך המופעל ע"י הקבוצה כולל מספר כלים שוהים מרכזיים מסוג Backdoor ומתבסס בעיקר על פעילות Online ושימוש ב-Webshells. בנוסף, הקבוצה ניצלה מספר פעמים פגיעויות של מיקרוסופט במסגרת התקיפות.
 
המערך נחשף מספר פעמים בשנים האחרונות ע"י חברות אבטחת מידע. בעקבות החשיפה, חידשו או שינו התוקפים את ארסנל הכלים של המערך כדי לשמור על אחיזתם ברשתות הנתקפות.
 
הופעת שורת הפקודה הבאה בלוגים של השרת, מעידה, קרוב לוודאי, על התקנת הפוגען בשרת:

%systemroot%\system32\inetsrv\APPCMD.EXE install module /name:[module name] /image:[path to RGDoor DLL] /add:true