Librarian Ghouls (aynı zamanda Rare Werewolf ve Rezet olarak da bilinir) olarak bilinen Gelişmiş Kalıcı Tehdit (APT) grubuna atfedilen sofistike bir siber saldırı kampanyası, Rus ve BDT kuruluşlarını aktif olarak hedef almaktadır. Grup, uzaktan erişim sağlamak, kimlik bilgilerini çalmak ve XMRig kripto para madencilerini dağıtmak için meşru üçüncü taraf yazılımları kullanmakta, yüzlerce endüstriyel işletmeyi ve mühendislik okulunu etkilemektedir.
Temel Çıkarımlar
-
Sofistike Kimlik Avı: Librarian Ghouls, Rusça konuşan hedeflere özel olarak hazırlanmış son derece ikna edici kimlik avı e-postaları kullanır.
-
Meşru Yazılımın Kötüye Kullanımı: Ayırt edici bir özellik, meşru üçüncü taraf araçların yaygın olarak kullanılmasıdır, bu da tespiti ve atfı zorlaştırır.
-
Gizli Operasyonlar: Planlanmış uyanma ve kapanma saatleri, faaliyetlerini kullanıcılardan gizlemek için tasarlanmıştır.
-
Çift Amaç: Grup, hem veri hırsızlığını (kimlik bilgileri, kripto cüzdanları) hem de kripto madenciliği yoluyla finansal kazancı hedefler.
-
Devam Eden Tehdit: Kampanya aktif kalmaya devam etmekte, siber güvenlik araştırmacıları tarafından taktik ve araçlarda sürekli iyileştirmeler gözlemlenmektedir.
Librarian Ghouls: Kalıcı Bir Tehdit
Rare Werewolf, en az 2019'dan beri aktif olup, sürekli olarak Rusya ve Bağımsız Devletler Topluluğu (BDT) ülkelerindeki kuruluşlara odaklanmaktadır. Mayıs 2025'e kadar devam eden operasyonları, öncelikli olarak endüstriyel işletmeleri ve mühendislik okullarını hedef almakta, Belarus ve Kazakistan'da da bazı kurbanlar bildirilmektedir. Grubun taktikleri, özel olarak geliştirilmiş kötü amaçlı yazılımlar yerine kolayca temin edilebilen, meşru yazılımlara dayanmalarıyla karakterize edilen potansiyel bir hacktivist motivasyonu düşündürmektedir.
Modus Operandi: Kimlik Avı ve Meşru Araçlar
Librarian Ghouls için ilk enfeksiyon vektörü, yüksek düzeyde hedeflenmiş kimlik avı e-postalarıdır. Genellikle Rusça olarak hazırlanmış ve Rusça dosya adları ve yem belgeleri içeren bu e-postalar, resmi iletişimler veya ödeme emirleri gibi gösterilmektedir. Kötü amaçlı yürütülebilir dosyalar içeren parola korumalı arşivler içerirler. Bir kurban bu dosyaları açtığında, karmaşık bir enfeksiyon zinciri başlatılır:
-
İlk Yük: Genellikle Smart Install Maker ile oluşturulan bir yükleyici, varlıklarını gizlemek için 4t Tray Minimizer gibi meşru yazılımları dağıtır.
-
Uzaktan Erişim ve Veri Sızdırma: Ara yükler, uzak sunuculardan ek araçlar getirir, bunlar arasında:
-
AnyDesk: Güvenliği ihlal edilmiş makinelerin uzaktan kontrolü için.
-
Blat: Çalınan verileri SMTP aracılığıyla göndermek için bir yardımcı program.
-
Defender Control: Windows Defender'ı devre dışı bırakmak için.
-
Özelleştirilmiş WinRAR 3.80: Veri sıkıştırma için.
-
WebBrowserPassView: Tarayıcıda depolanan kimlik bilgilerini çalmak için.
-
Mipko Personal Monitor: Ekran görüntüleri ve tuş vuruşları dahil olmak üzere kurbanları izlemek için.
-
ngrok: Güvenli ağ hizmeti bağlantıları için.
-
NirCmd: Gizlice komut dosyalarını çalıştırmak için.
-
-
Planlanmış Operasyonlar: Saldırganlar, enfekte cihazları yerel saatle 01:00'de uyanacak ve 05:00'de kapanacak şekilde programlar. Bu dört saatlik pencere, kullanıcı şüphesini en aza indirirken veri hırsızlığı ve kripto madenciliği gibi faaliyetlerini yürütmelerine olanak tanır.
-
Veri Hırsızlığı: Grup özellikle şunları hedefler:
-
Kripto para cüzdanı kimlik bilgileri ve tohum ifadeleri.
-
HKLM\SAM ve HKLM\SYSTEM kayıt defteri anahtarlarının dökümleri.
-
-
Kripto Para Madenciliği: Veri sızdırmadan sonra, XMRig kripto para madencisi kurulur. Madenci, madencilik operasyonlarını optimize etmek için kurbanın sistem bilgisine (CPU çekirdekleri, RAM, GPU) göre yapılandırılır.
Rusya ve BDT ülkelerindeki kuruluşlar, bu gelişen APT grubunun oluşturduğu riskleri azaltmak için siber güvenlik savunmalarını güçlendirmeye, sağlam e-posta güvenlik önlemleri uygulamaya ve çalışanları kimlik avı tehditleri konusunda eğitmeye çağrılmaktadır.
Kaynaklar
-
Rare Werewolf APT, Yüzlerce Rus İşletmesine Yönelik Saldırılarda Meşru Yazılım Kullanıyor, The Hacker News.
-
Kripto Madenciliği Grubu Yüzlerce Cihazı Kripto Madenciliği İçin Hackledi, Cointelegraph.
-
'Librarian Ghouls' APT Grubu Kuruluşları Hedefliyor, GBHackers News.
-
Librarian Ghouls APT, Veri Hırsızlığı ve Kripto Madencisi Dağıtımı ile Saldırılar Gerçekleştiriyor, Securelist.
-
Hacker Grubu Rare Werewolf, Rus Cihazlarını Kripto Madenciliği ve Veri Çalmak İçin Ele Geçiriyor, Crypto News.
Bu makale, yapay zeka destekli teknolojinin yardımıyla oluşturulmuş ve birçok güvenilir kaynaktan yararlanılarak hazırlanmıştır. Nihai içerik, doğruluk, açıklık ve tutarlılığı sağlamak amacıyla BlockzHub editör ekibi tarafından titizlikle gözden geçirilmiş ve düzenlenmiştir. Orijinal haber kaynakları, uygun ve gerekli görüldüğünde belirtilmiştir. Bu makalede ifade edilen görüşler, BlockzHub'ın resmi görüş veya pozisyonlarını mutlaka yansıtmaz. Makale yalnızca bilgilendirme amaçlıdır ve finansal veya profesyonel bir tavsiye olarak değerlendirilmemelidir. Yatırım yapmak risk içerir; herhangi bir yatırım kararı vermeden önce nitelikli bir finansal danışmana danışmanız önerilir.