Bilinmeyen bir tehdit oyuncusu, Ukrayna kriziyle ilgilenen Alman kullanıcıları hedefliyor, onları özel bir PowerShell sıçan (uzaktan erişim Truva atı) ile bulaşıyor ve verilerini çalıyor.
Kötü amaçlı yazılım kampanyası, kullanıcıları Ukrayna'daki durum hakkında yayınlanmamış bilgileri içeren sahte haber bültenlerine çekmek için bir tuzak sitesi kullanıyor.
Bu siteler, uzaktan komut yürütme ve dosya işlemlerini destekleyen özel bir sıçan yükleyen kötü amaçlı belgeler sunar.
Kampanya, yazılarında tüm ayrıntıları ve uzlaşma göstergelerini sağlayan Malwarebebytes'teki tehdit analistleri tarafından ortaya çıkarıldı.
Bu saldırılarda kullanılan alan adı, alan adı sona erdiğinde ve daha sonra gerçek sitenin görünümünü klonladığında, tehdit oyuncunun kaydedildiği "İşbirliği-BW [.] De" dir.
Sitenin ziyaretçileri "2022-Q2-Bedrohungslage-Ukraine" adlı bir dosya bulacak, Ukrayna'daki durum hakkında umut verici bilgi ve ücretsiz indirme için sunulacak.
Sitedeki ilgili bölüm, belgenin sürekli olarak yeni bilgilerle güncellendiğini iddia ediyor, bu nedenle kullanıcıların her gün yeni bir kopya almaları isteniyor.
İndirilen Zip Arşivi, derlenmiş birkaç HTML dosyasından oluşan bir CHM dosyası içerir. Kurban açarsa, sahte bir hata mesajı sunulur.
Bununla birlikte, arka planda dosya, sahte siteden kötü amaçlı bir komut dosyası getirmeye ve yürütmeye yol açan bir baz64 deobfuscator çalıştıran PowerShell'i tetikler.
Komut dosyası sonunda kurbanın bilgisayarına, .txt dosya formundaki sıçan ve PowerShell aracılığıyla yürütülmesine yardımcı olan bir .cmd dosyasına iki dosya bırakır.
"Status.txt" i gizleyen özel PowerShell sıçanı, temel sistem bilgilerini toplayarak ve benzersiz bir istemci kimliği atayarak kötü amaçlı işlemini başlatır.
Bu bilgiler ve ana bilgisayarlardan çalınan diğer her şey, bir Alman alan adına "Kleinm [.] De" olarak adlandırılır.
Windows AMSI'yi (kötü amaçlı yazılım tarama arayüzü) atlamak için, sıçan, oluşturulan bir anahtar kullanarak anında şifre çözülmüş "Bypass" adlı AES şifreli bir işlev kullanır.
Sıçanın ana yetenekleri şunlardır:
Bununla birlikte, Malwarebebytes, tehdit aktörünün sıçanı ve vahşi doğada yeteneklerini nasıl kullandığına dair belirli örnekler vermez, bu nedenle kampanyanın hedefleri bilinmemektedir.
Rapordaki MalwareBebytes, "Bu etkinliği belirli bir aktöre atfetmek kolay değil ve ilişkilendirmeyi destekleyecek sağlam bir gösterge yok."
"Sadece motivasyona dayanarak, bir Rus tehdit oyuncusunun Alman kullanıcıları hedef alabileceğini varsayıyoruz, ancak altyapıdaki açık bağlantılar veya bilinen TTP'lerle benzerlikler olmadan, bu tür ilişkilendirme zayıf."
Kritik paket, bilinen ve daha önce güvenilir web siteleri sessizce el değiştirmiş olabileceğinden, web'den dosya indirmeleri konusunda dikkatli olmaktır.
Bunun gibi haber siteleri söz konusu olduğunda, bir web sayfasında her şeyi barındırmak yerine dosya biçiminde hikayeler sunmak, nadiren meşru nedenlerle haklı çıkar, bu yüzden kırmızı bayrak olarak davranın.
Devam eden saldırılarda tespit edilen yeni gizli Nerbian sıçan kötü amaçlı yazılım
Yeni NetDooka kötü amaçlı yazılım, zehirli arama sonuçlarıyla yayılıyor
Bilgisayar korsanları, Hint Govt çalışanlarına karşı değiştirilmiş MFA aracı kullanıyor
Sıçan kötü amaçlı yazılım sunmak için kullanılan kötü amaçlı microsoft excel eklentileri
Bitrat kötü amaçlı yazılım şimdi Windows 10 Lisans Aktivatörü olarak yayılıyor
Kaynak: Bleeping Computer