Gelişmiş siber saldırılar, 2024'ün ikinci yarısından bu yana kuruluşları, özellikle de Rus BT sektörünü hedef alıyor. Saldırganlar, kötü amaçlı yüklerini teslim etmek ve nihayetinde Cobalt Strike Beacon'ı dağıtmak için GitHub, Quora ve sosyal medya gibi popüler çevrimiçi platformları kullanarak gelişmiş kaçınma teknikleri uyguluyor.
Gizli Bir Sızma
Kasım 2024 ile Nisan 2025 arasında en aktif olan kampanya, oldukça ikna edici hedefli kimlik avı e-postalarıyla başladı. Bu e-postalar, alıcıları kötü amaçlı ekleri açmaya ikna etmek için genellikle petrol ve gaz endüstrisindeki büyük devlete ait şirketlerden gelen iletişimleri taklit ediyordu. Bu ekler genellikle aldatıcı bir yapıya sahip RAR arşivleriydi: kötü amaçlı bir .lnk dosyası, yem PDF belgeleri ve PDF olarak gizlenmiş yürütülebilir dosyaları içeren gizli bir dizin.
Bir hedefli kimlik avı e-postasının örneği
.lnk dosyasının yürütülmesi üzerine, kötü amaçlı yazılım bu dosyaları kullanıcının ortamında kopyalar ve yeniden adlandırır, böylece daha fazla uzlaşma için zemin hazırlar. Kullanılan temel bir teknik, meşru BugSplat çökme raporlama yardımcı programını (BsSndRpt.exe) istismar eden DLL ele geçirme (DLL hijacking) idi. Saldırganlar bu yardımcı programı yeniden adlandırdı ve kötü amaçlı bir DLL ile eşleştirdi, böylece yardımcı programın orijinal karşılığı yerine sahte kodu yüklemesini sağladı.
"Requirements.lnk" kısayolunun yürütülme şeması
nau.exe işleminin şeması
Meşru Platformları Kötü Amaçlı Kullanma
Tespit edilmekten daha fazla kaçınmak için, kötü amaçlı DLL dinamik API çözümlemesi ve XOR şifreli hash'ler kullandı, bu da statik analizi zorlaştırdı. Ayrıca Windows API işlevlerini ele geçirdi (hooked), çağrıları kötü amaçlı kütüphanedeki özel işlevlere yönlendirdi. Bu işlevler daha sonra web tabanlı kaynaklardan shellcode'u getirdi, özellikle Microsoft Tech Community, Quora, GitHub ve Rus sosyal ağları gibi platformlardaki kullanıcı profillerinde bulunan HTML içeriğine komuta ve kontrol (C2) bilgilerini ve yük URL'lerini gömdü.
Çeşitli popüler kaynaklardaki kötü amaçlı profiller
Kötü amaçlı verileri meşru kullanıcı tarafından oluşturulan içeriğin içine gizleme yöntemi, saldırganların karmaşık ve dayanıklı bir yürütme zinciri oluşturmasına olanak sağladı. Yansıtıcı bir yükleyici olan shellcode, Cobalt Strike Beacon'ı doğrudan işlem belleğine enjekte etmek ve C2 sunucularıyla iletişim kurmak için tasarlandı. Tespit edilen hesaplar saldırı için özel olarak oluşturulmuş olsa da, bu teknikler meşru kullanıcı gönderilerini veya yorumlarını tehlikeye atmak için kolayca uyarlanabilir.
Temel Çıkarımlar
-
Tehdit aktörleri, Cobalt Strike gibi iyi bilinen araçları gizlemek için giderek daha sofistike yöntemler kullanıyor.
-
Meşru çevrimiçi platformlar, komuta ve kontrol altyapısını barındırmak ve kötü amaçlı yükleri teslim etmek için kötüye kullanılıyor.
-
DLL ele geçirme ve dinamik API çözümlemesi yaygın kaçınma teknikleridir.
-
Hedefli kimlik avı e-postaları birincil ilk erişim vektörü olmaya devam ediyor.
Kampanya, öncelikli olarak Rus BT şirketlerini hedef alsa da, Çin, Japonya, Malezya ve Peru'da da faaliyet gösterdi. Kuruluşlara, dikkatli izleme yapmaları, personel için siber güvenlik farkındalık eğitimini artırmaları ve bu tür gelişmiş tehditleri tespit etmek ve engellemek için sağlam güvenlik çözümleri dağıtmaları tavsiye edilir. Güvenlik ihlali göstergeleri arasında imzasız BugSplatRc64.dll dosyalarının veya BugSplat yardımcı programının standart dışı dosya adlarıyla görünmesi yer alır.
Kaynaklar
-
Hedefli saldırılar, popüler çevrimiçi platformlardaki hesapları C2 sunucusu olarak kullanıyor, Securelist.
-
Hackerlar Cobalt Strike Beacon'ı Teslim Etmek İçin GitHub ve Sosyal Medyayı Kullanıyor, Cyber Press.
-
Hackerlar GitHub ve Sosyal Medya Kullanarak Cobalt Strike Beacon Dağıtıyor, GBHackers News.
-
Kaspersky, GitHub, Quora ve sosyal ağlardan bilgi alan siber saldırılar keşfetti
kuruluşları hedef alan, Kaspersky.
Bu makale, yapay zeka destekli teknolojinin yardımıyla oluşturulmuş ve birçok güvenilir kaynaktan yararlanılarak hazırlanmıştır. Nihai içerik, doğruluk, açıklık ve tutarlılığı sağlamak amacıyla BlockzHub editör ekibi tarafından titizlikle gözden geçirilmiş ve düzenlenmiştir. Orijinal haber kaynakları, uygun ve gerekli görüldüğünde belirtilmiştir. Bu makalede ifade edilen görüşler, BlockzHub'ın resmi görüş veya pozisyonlarını mutlaka yansıtmaz. Makale yalnızca bilgilendirme amaçlıdır ve finansal veya profesyonel bir tavsiye olarak değerlendirilmemelidir. Yatırım yapmak risk içerir; herhangi bir yatırım kararı vermeden önce nitelikli bir finansal danışmana danışmanız önerilir.