بدافزار جدید GoGra برای لینوکس از Microsoft Graph API برای ارتباطات استفاده می‌کند

محققان شرکت سیمانتک (Symantec) یک نسخه لینوکسی از درپشتی (backdoor) GoGra را شناسایی کرده‌اند که توسط گروه جاسوسی Harvester — که احتمالاً دارای پشتیبانی دولتی است — توسعه یافته و از زیرساخت‌های مشروع مایکروسافت برای انتقال مخفیانه دستورات استفاده می‌کند. این بدافزار با بهره‌گیری از واسط برنامه‌نویسی Microsoft Graph API و اعتبارنامه‌های رمزگذاری‌شده Azure Active Directory، به صندوق ورودی Outlook دسترسی پیدا کرده و دستورات را از طریق ایمیل‌هایی با موضوع «Input» دریافت و نتایج اجرا را با موضوع «Output» ارسال می‌کند. برای کاهش ردپای دیجیتال، بدافزار پس از پردازش هر دستور، ایمیل اصلی را از طریق درخواست HTTP DELETE حذف می‌کند.

سیمانتک اعلام کرد که این نسخه لینوکسی از نظر کدبیس (codebase) تقریباً با نسخه ویندوزی یکسان است و حتی اشتباهات تایپی در رشته‌ها و نام توابع، و همچنین کلید رمزنگاری AES مشابهی دارد که به احتمال قوی هر دو توسط یک توسعه‌دهنده ساخته شده‌اند. دسترسی اولیه از طریق فریب قربانیان برای اجرای فایل‌های ELF مبدل به PDF صورت می‌گیرد و بدافزار با جعل هویت نرم‌افزار مشروع Conky، پایداری (persistence) خود را از طریق systemd و ورودی‌های XDG autostart برقرار می‌کند. سیمانتک ظهور این نسخه لینوکسی را نشانه‌ای از گسترش ابزارها و دامنه هدف‌گیری گروه Harvester می‌داند که سازمان‌های مخابراتی، دولتی و فناوری اطلاعات در جنوب آسیا را هدف قرار می‌دهد.