Güvenlik araştırmacıları, Asya'daki devlet kuruluşlarının yanı sıra devlete ait havacılık ve savunma firmaları, telekom şirketleri ve BT kuruluşlarına odaklanan yeni siber-ihale faaliyetleri tespit ettiler.
Bu etkinliğin arkasındaki tehdit grubu, daha önce "Shadowpad" sıçan (uzaktan erişim Truva atı) ile ilişkili farklı bir kümedir. Son kampanyalarda, tehdit oyuncusu çok daha çeşitli bir araç seti kullandı.
Symantec'in tehdit avcısı ekibinin etkinliğe dalan bir raporuna göre, en azından 2021'in başından beri istihbarat toplama saldırıları devam ediyor ve hala devam ediyor.
Mevcut kampanya neredeyse sadece Asya'daki hükümet veya kamu kuruluşlarına odaklanmış gibi görünüyor:
Symantec, Casusluk Grubunun hükümet hedeflerini nasıl tehlikeye attığını göstermek için Nisan 2022'de ortaya çıkan bir saldırı örneğini sunuyor.
Saldırı, bir .dat dosyası yüklemek için meşru bir uygulamanın yürütülebilir dosyasını başlatarak yan yüklenen kötü niyetli bir DLL implantasyonuyla başlar.
Bu durumda, bilgisayar korsanları tarafından istismar edilen meşru başvuru, 11 yaşında bir Bitdefender kaza işleyicisi yürütülebilirdi.
Başlangıç .dat yükü, komutları veya ek yükleri doğrudan bellekten yürütmek için kaldırılabilen şifreli kabuk kodu içerir.
Arka kapı erişimini kurduktan sadece üç gün sonra, tehdit aktörleri ProcDump'ı yerel güvenlik yetkilisi sunucusu hizmetinden (LSASS) kapmak için ProcDump'ı kurdu.
Aynı gün, Ladongo penetrasyon testi çerçevesi yine DLL kaçırma yoluyla yan yüklendi ve ağ keşfi için kullanıldı.
İlk saldırıdan iki hafta sonra, saldırganlar yaygın olarak kullanılan bir kimlik bilgileri çalma aracı olan Mimikatz'ı kurmak için uzlaşmış makineye geri döndüler.
Ayrıca, bilgisayar korsanları ayrıcalıklarını yükseltmek için CVE-2020-1472'den (Netlogon) aynı ağdaki iki bilgisayara karşı kullanmaya çalıştı.
Saldırganlar, kaza işleyicisini yürütmek ve ağdaki ek bilgisayarlara yük yükleri yüklemek için DLL sipariş tutma hilesini gerçekleştirmek için Psexec kullandı.
İzinsiz girişten bir ay sonra, tehdit aktörleri yeni kullanıcı hesapları oluşturmak için ayrıcalıklar kazandı ve kullanıcı kimlik bilgilerine ve günlük dosyalarına erişmek için Active Directory sunucusunun bir anlık görüntüsünü monte etti.
Son olarak, Symantec, tehlikeye atılan ağdaki değişim sunucularına karşı CVE-2021-26855'in (Proxylogon) kullanılması için FSCAN'ın konuşlandırılmasını gözlemledi.
Son kampanyalardaki saldırılar tarafından kullanılan araçlardan biri, daha önce bilinmeyen bir bilgi stealer (Infostealer.logdatter), esasen Shadowpad'in yerini aldı.
Bu yeni aracın yetenekleri şunları içerir:
Info-stealer ve önceki bölümde belirtilen tüm araçlara ek olarak, saldırganlar Quasarrat, Nirsoft Passview, FastreverseProxy, Plugx, Trochilus Rat ve çeşitli Powersploit komut dosyalarını kullandı.
Symantec'in tehdit avcısı ekibi, bu kampanyayı Çin devlet destekli APT41 ve Mustang Panda tehdit gruplarına daha önce bu casusluk kıyafetleriyle bağlantılı kötü amaçlı araçlara dayanarak bağladı.
Örneğin, APT41'e atfedilen kampanyalarda yan yükleme kötü amaçlı kod için Bitdefender yürütülebilir dosyasının kullanılması gözlenmiştir.
Symantec ayrıca, Güney Doğu Asya merkezli kritik altyapı organizasyonlarına karşı APT41 saldırılarını konuşlandıran aynı Keylogger'ın kullanımını da vurgulamaktadır.
Araştırmacılar, "Korplug/Plugx kötü amaçlı yazılımları içeren geçmiş saldırılara ve Blackfly/Grayfly (APT41) ve Mustang Panda dahil olmak üzere bilinen bir dizi grubun saldırılarına bağlantılar öneren sınırlı kanıtlar var." Dedi.
Bu nedenle, Çinli bilgisayar korsanlarının bu casusluk kampanyalarının arkasında olması muhtemeldir, ancak kanıtlar kendine güvenen bir atıf için yeterince zorlayıcı değildir.
Sistemlerinizi sofistike tehditlerden korumak için, bilinen güvenlik açıklarının kullanılmasını önlemek ve yazılım implantlarını tanımlamak için tüm bilgisayarlardaki çalışma süreçlerini incelemek için tüm yazılımları güncel tutun.
Artan sayıda APT, DLL Sipariş Kaçırma'yı benimsiyor, bu nedenle güvenlik çözümleri kötü niyetli olarak işaretlemese bile, kuruluşun portföyünün bir parçası olmayan sistemlerde çalışan herhangi bir yazılım kırmızı bir bayrak.
Winnti bilgisayar korsanları, algılamadan kaçmak için kobalt grevini 154 parçaya bölün
Yeni Worok Siber-Teşebbüs Grubu Hedefler Hükümetleri, Yüksek Profil Firmaları
Çinli hackerlar, tarama kutusu kötü amaçlı yazılımlarla Avustralya Hükümeti'ni hedefleyin
Android Emulator Tedarik Zinciri Saldırısı, Oyuncuları Kötü Yazılımla Hedefliyor
Hackerlar Dracarys Android kötü amaçlı yazılımları değiştirilmiş sinyal uygulamasını kullanarak yükleyin
Kaynak: Bleeping Computer