QBOT kötü amaçlı yazılım artık Windows cihazlarını enfekte etmek için PDF'ler ve Windows Script Dosyaları (WSF) kullanan kimlik avı kampanyalarına dağıtılmaktadır.
QBOT (aka Qakbot), diğer tehdit aktörleri için kurumsal ağlara ilk erişim sağlayan kötü amaçlı yazılımlara dönüşen eski bir bankacılık Truva atıdır. Bu ilk erişim, Cobalt Strike, Brute Ratel ve diğer tehdit aktörlerinin güvenliği ihlal edilmiş cihaza erişmesini sağlayan diğer kötü amaçlı yazılımlar gibi ek yükler bırakarak yapılır.
Bu erişimi kullanarak, tehdit aktörleri bir ağdan yanal olarak yayılır, verileri çalmak ve nihayetinde fidye yazılımlarını gasp saldırılarında dağıtır.
Bu aydan itibaren, Güvenlik Araştırmacısı Proxyife ve Cryptolaemus Group, QBOT'un yeni bir e -posta dağıtım yöntemi kullanmasını kronikleştiriyor - kurban cihazlarına QBOT yüklemek için Windows komut dosyası dosyalarını indiren PDF ekleri.
QBOT şu anda tehdit aktörleri çalıntı e-posta alışverişlerini kullandığında ve daha sonra kötü amaçlı yazılımlara veya kötü amaçlı eklerle bağlantılarla cevap verdiğinde yanıt zinciri kimlik avı e-postaları aracılığıyla dağıtılıyor.
Yanıt zinciri e-postalarının kullanımı, devam eden bir konuşmaya yanıt olarak bir kimlik avı e-postasını daha az şüpheli hale getirme girişimidir.
Kimlik avı e -postaları, dünya çapında bir kötü amaçlı yazılım dağıtım kampanyası olarak işaretleyerek çeşitli diller kullanır.
Bu e-postalara ek olarak, açıldığında, "Bu belge korumalı dosyaları içeriyor," Aç "düğmesine tıklayın.
Ancak, düğme tıklandığında, bunun yerine Windows komut dosyası (WSF) dosyası içeren bir zip dosyası indirilir.
Bir Windows komut dosyası dosyası .wsf uzantısı ile biter ve dosya çift tıklandığında yürütülen bir JScript ve VBScript kodu karışımı içerebilir.
QBOT kötü amaçlı yazılım dağıtım kampanyasında kullanılan WSF dosyası, bilgisayarda bir PowerShell komut dosyası yürütmek amacıyla nihai hedefi ile büyük ölçüde gizlenmiştir.
WSF dosyası tarafından yürütülen PowerShell komut dosyası, bir URLS listesinden bir DLL indirmeye çalışır. Her URL, dosya % Temp % klasörüne başarıyla indirilip yürütülene kadar denenir.
QBOT DLL yürütüldüğünde, bir İnternet bağlantısı olup olmadığını belirlemek için Ping komutunu çalıştırır. Kötü amaçlı yazılım daha sonra kendini arka planda sessizce çalışacağı meşru Windows Wermgr.exe (Windows Hata Yöneticisi) programına enjekte edecektir.
QBOT kötü amaçlı yazılım enfeksiyonları, kurumsal ağlara yıkıcı saldırılara yol açabilir, bu da kötü amaçlı yazılımların nasıl dağıtıldığını anlamayı hayati önem taşır.
Blackbasta, Revil, Pwndlocker, Egregor, Prolock ve Megacortex dahil olmak üzere, hizmet olarak birden fazla fidye yazılımı (RAAS) operasyonuna bağlı fidye yazılımı bağlı kuruluşları, kurumsal ağlara ilk erişim için QBOT'u kullanmıştır.
DFIR raporundaki araştırmacılar, QBOT'un ilk enfeksiyondan sonra hassas verileri çalmasının sadece 30 dakika sürdüğünü göstermiştir. Daha da kötüsü, kötü niyetli etkinliklerin bitişik iş istasyonlarına yayılması sadece bir saat sürer.
Bu nedenle, bir cihaz QBOT ile enfekte olursa, sistemi mümkün olan en kısa sürede çevrimdışı almak ve olağandışı davranışlar için ağın tam bir değerlendirmesini yapmak önemlidir.
Bilgisayar korsanları Google komutunu kötüye kullanın ve saldırılarda kırmızı takım aracını kontrol edin
Microsoft: Kimlik avı saldırısı, vergi günü yaklaşımı olarak muhasebecileri hedefler
Microsoft Onenote 120 tehlikeli dosya uzantısını engelleyecek
Yeni buzlu varyantlar banka sahtekarlığından kötü amaçlı yazılım sunumuna geçiş
IRS'den sahte W-9 vergi formları olarak dağıtılan Emotet kötü amaçlı yazılım
Kaynak: Bleeping Computer