Kötü niyetli aktörler, büyük bir şirkete karşı bir siber saldırıda bir tünelleme aracı olarak açık kaynaklı hipervizör platformu QEMU'yu kötüye kullandılar.
QEMU, bir bilgisayarda konuk olarak diğer işletim sistemlerini çalıştırmanızı sağlayan ücretsiz bir emülatör ve hipervizördür.
Saldırının bir parçası olarak, tehdit aktörleri sanal ağ arayüzleri oluşturmak için qemu ve uzak bir sunucuya bağlanmak için soket tipi bir ağ cihazı kullandı. Bu, tehdit aktörlerinin kurbanın sisteminden sistem performansı üzerinde ihmal edilebilir bir etkisi olan saldırganın sunucusuna bir ağ tüneli oluşturmasına izin verdi.
Saldırganların gizli kalmak için kullandıkları çeşitli yöntemleri vurgulayan bu alışılmadık durum, ihlal edilen şirketin sistemlerindeki şüpheli faaliyetleri araştırmaya çağrılan Kaspersky analistleri tarafından keşfedildi.
Bilgisayar korsanları, aralarında ve uzlaşmış bir sistem arasında gizli ve güvenli bir iletişim kanalı oluşturmak için ağ tünelleri oluşturur.
Tipik olarak, bu tüneller güvenlik duvarlarını, saldırı algılama sistemlerini ve diğer güvenlik önlemlerini atlamaya yardımcı olmak için ağ trafiğini şifreler.
Kaspersky, son üç yılda araştırdığı vakaların% 10'unda bilgisayar korsanlarının tünel oluşturmak için FRP ve NGROK kamu hizmetlerini kullandığını söylüyor. Saldırılarda kullanılan diğer tünel araçları arasında Cloudflare Tünelleri, STOWAWAY, LIGOLO, 3Proxy, Dog-Tunnel, keski, GS-Netcat, Plink, IOX ve NP'ler bulunur.
Siber suçlular tarafından sık sık kötüye kullanımları nedeniyle, savunucular ve izleme araçları bu araçları şüphe ile ele alıyor.
QEMU'yu içeren bu alışılmadık durumda, saldırganlar, trafik şifrelemesinden vazgeçmek anlamına gelse bile, herhangi bir alarmı yükseltecek ağ tünelleri oluşturmak için daha az geleneksel bir araç kullanmaya karar verdiler.
Ek olarak, QEMU, çok çeşitli donanım ve sanal ağları taklit etmek, kötü niyetli etkinliklerin iyi huylu sanallaştırma trafiğiyle karışmasına izin vermek ve stratejik olarak ayarlanmış VM pivot noktaları yoluyla segmentli ağ parçalarını köprüleme gibi benzersiz özellikler sunar.
Kaspersky tarafından görülen saldırıda, bilgisayar korsanları ağ taraması için 'Angry IP tarayıcı', kimlik bilgisi hırsızlığı için 'Mimikatz' ve gizli bir iletişim kanalını kolaylaştıran sofistike bir ağ tünelleme kurulumu oluşturmak için qemu kullandı.
Saldırganlar, ayak izlerini mümkün olduğunca minimal tutmaya çalıştılar, sadece 1 MB RAM'i oluşturdukları sanal makineye tahsis ederek kaynak tüketimi yoluyla tespit şansını büyük ölçüde azalttılar.
Livecd veya disk görüntüsü kullanmadan başlatılan VM'nin yapılandırması aşağıdaki bağımsız değişkenleri içerir:
Kaspersky, saldırganların qemu'nun özel kullanımını çoğaltmak için simüle edilmiş testler yaptı ve kurulumun aşağıdaki şemadaki gibi göründüğü sonucuna vardı.
QEMU'yu kullanarak, saldırganlar, hedeflenen dahili ana bilgisayardan internet erişimi olan bir pivot ana bilgisayarına internet erişimi olmayan bir ağ tüneli kurdu ve bu da buluttaki saldırganın sunucusuna bağlandı ve Kali Linux VM çalıştırdı.
QEMU VM'lerinin sorunsuz bir şekilde bağlantı kurma ve segmentli ağ bileşenlerini köprüleme yeteneği, güvenlik önlemlerini atlamada anahtardır ve ihlali yanal olarak daha da ileriye taşımak için kullanılabilir.
Kaspersky, işletmenin, birçok küçük işletme için fiyat noktasının dışında olabilecek 7/24 ağ izleme de dahil olmak üzere, bu gibi meşru araçların kullanımını tespit etmek için çok seviyeli koruma benimsemesi gerektiğini söylüyor.
Kaspersky, "Bu ayrıca, hem güvenilir uç nokta korumasını hem de insan tarafından işletilen olanlar da dahil olmak üzere karmaşık ve hedeflenen saldırıları tespit etmek ve korumak için özel çözümleri kapsayan çok seviyeli koruma kavramını destekliyor."
"SOC uzmanları tarafından 7/24 ağ (NDR, NGFW) ve son nokta (EDR, EPP) izlemesini içeren kapsamlı güvenlik, anomalileri zamanında tespit edebilir ve ilk aşamasında bir saldırı engelleyebilir."
Yeni SSH-Snake kötü amaçlı yazılım, ağa yayılacak SSH anahtarlarını çalıyor
Kaynak: Bleeping Computer