Lindnor back door
A Symantec és a Carbon Black kutatói 2026. november 5-én egy olyan zsarolóvírus-támadást mutattak be, amelyben az Anubis ransomware üzemeltetői egy korábban ismeretlen, Lindnor back doort és szokatlanul sok védelmi rendszereket kiiktató eszközt vetettek be.
A 2026 októberében történt támadás egy amerikai szervezetet érintett. A kutatók két Microsoft SQL Server gépen azonosították a Lindnor kártevőt, amely Chrome- és VMware-komponensnek álcázva, Windows-szolgáltatásként működött. A hátsó kapu rendszerinformációkat továbbított a támadók vezérlőszervereinek, és távoli hozzáférést biztosított.
A behatolók nagyjából egy óra alatt legalább 13 futtatható állományt és öt sérülékeny illesztőprogramot helyeztek el a rendszereken, hogy leállítsák a biztonsági szoftvereket. A Bring Your Own Vulnerable Driver (BYOVD) módszerrel legitim, digitálisan aláírt, de sérülékeny driverek segítségével próbáltak kernel szintű jogosultságokat szerezni.
A támadók emellett telepítették a legitim AnyDesk távoli hozzáférési alkalmazást, majd úgy konfigurálták, hogy a Windows hálózati csökkentett módjában is működjön. Ez azért veszélyes, mert ebben az üzemmódban számos végpontvédelmi szolgáltatás nem működik teljes körűen.
A támadás végén megpróbálták elindítani az Anubis zsarolóvírus titkosító modulját, de a biztonsági védelem megakadályozta annak futtatását. A vizsgált incidensben nem találtak bizonyítékot fájlok titkosítására.
Az Anubis a Hawkmoth néven követett, zsarolóvírus-szolgáltatást működtető bűnözői csoporthoz kapcsolódik. A banda az elmúlt 12 hónapban mintegy 96 áldozatot állított, amelyek 52%-a amerikai szervezet volt.
