'Bronz Starlight' olarak bilinen Çin uyumlu APT (gelişmiş kalıcı tehdit) grubu, Güneydoğu Asya kumar endüstrisini Ivacy VPN sağlayıcısı tarafından kullanılan geçerli bir sertifika kullanılarak imzalanmış kötü amaçlı yazılımlarla hedefleyen görüldü.
Geçerli bir sertifika kullanmanın temel yararı, güvenlik önlemlerini atlamak, sistem uyarılarından şüphelenmekten kaçınmak ve meşru yazılım ve trafikle karışmaktır.
Kampanyayı analiz eden Sentinellabs'a göre, sertifika VPN ürünü 'Ivacy VPN' nin Singapurlu satıcısı PMG Pte Ltd'ye ait.
Mart 2023'te gözlemlenen siber saldırılar, ESET'in 4. çeyrek 2022 - Q1 2023 raporunda tanımladığı 'ChattyGoblin Operasyonu'nun daha sonraki bir aşamasıdır.
Bununla birlikte, Sentinellabs, Çin tehdit aktörleri arasındaki araçların kapsamlı bir şekilde paylaşılması nedeniyle belirli kümelerle ilişkilendirmenin zor olduğunu söylüyor.
Saldırılar, hedef sistemde, muhtemelen alibaba kovalarından şifre korumalı fermuar arşivleri getiren .NET Executable'ı (AgenUpdate_plugins.exe ve AdventureQuest.exe) düşürme ile başlar.
AdventureQuest.exe kötü amaçlı yazılım örneği, ilk olarak kod imzalama sertifikasının resmi Ivacy VPN yükleyicileri için kullanılanla aynı olduğunu belirttiklerinde Mayıs ayında güvenlik araştırmacısı MalwareHunterTeam tarafından bulundu.
Bu arşivler, Adobe Creative Cloud, Microsoft Edge ve McAfee Virusscan gibi DLL kaçırmaya duyarlı olan savunmasız yazılım sürümleri içerir. Bronz Starlight hackerları, bu savunmasız uygulamaları, hedeflenen sistemlere kobalt grev işaretlerini dağıtmak için kullanıyor.
Kötü amaçlı DLL'ler (libcef.dll, msedge_elf.dll ve lockdown.dll), meşru program yürütülebilir ürünlerin yanında arşivlerin içinde paketlenmiştir ve Windows, C: \ Windows \ System32'de depolanan aynı DLL'nin daha güvenli sürümlerine karşı yürütülmelerine öncelik verir, bu nedenle kötü amaçlı kodun çalışmasına izin vermek.
Sentinellabs, .NET yürütülebilir ürünlerin, kötü amaçlı yazılımların Amerika Birleşik Devletleri, Almanya, Fransa, Rusya, Hindistan, Kanada veya Birleşik Krallık'ta çalışmasını önleyen bir coğrafi kaplama kısıtlaması bulunduğunu belirtiyor.
Bu ülkeler bu kampanyanın hedef kapsamı dışındadır ve tespit ve analizden kaçınmak için dışlanmıştır. Ancak, coğrafi işleme uygulamasındaki bir hata nedeniyle işe yaramaz.
Gözlenen saldırıların ilginç bir yönü, Ivacy VPN'nin arkasındaki firma olan PMG Pte Ltd'ye ait bir kod parçalama sertifikası kullanmaktır.
Aslında, aynı sertifika, VPN sağlayıcısının web sitesinden bağlantılı resmi Ivacy VPN yükleyicisini imzalamak için kullanılır.
"Bir noktada PMG Pte Ltd imzalama anahtarının çalınmış olması muhtemeldir - kötü amaçlı yazılım imzalamasını sağlamak için bilinen Çin tehdit aktörlerinin tanıdık bir tekniği," diye hipotezler.
"VPN sağlayıcıları kritik hedeflerdir, çünkü tehdit aktörlerinin hassas kullanıcı verilerine ve iletişimine potansiyel olarak erişmesini sağlıyorlar."
Sertifika çalındıysa, güvenlik araştırmacıları aktörlerin VPN sağlayıcısında başka nelere erişebileceğinden endişe duyuyorlar.
PMG Pte Ltd bu açıklamaya bir kamuya açık bir açıklama ile yanıt vermedi, bu nedenle bilgisayar korsanlarının sertifikaya erişim kazanma araçları belirsizliğini koruyor.
Bu arada Digicert, "temel gereksinimler" yönergelerini ihlal etmek için Haziran 2023'ün başlarında sertifikayı iptal etti ve geçersiz kıldı.
BleepingComputer, istismar edilen kod imzalama sertifikaları hakkında Ivacy ile temasa geçti, ancak yanıt almadı.
Akira Fidye Yazılımı, Cisco VPN'leri ihlal etmeyi ihlal etmek için hedefler
Yeni kötü amaçlı yazılım, veri hırsızlığı için iş yönlendiricilerini enfekte eder, gözetim
Carderbee Hacking Group Tedarik Zinciri Saldırısında Hong Kong Orgs'a vuruyor
Küba Ransomware, kritik ABD kuruluşlarına karşı Veeam istismarını kullanıyor
Windscribe VPN ile gizliliğinizi geliştirin - şimdi satışta
Kaynak: Bleeping Computer