'Büyüleyici Yavru Kedi' (Fosfor, TA453, APT35/42) olarak bilinen bir ulus-devlet tehdit oyuncusu, dünyanın dört bir yanındaki 34 şirkete karşı daha önce bilinmeyen bir arka kapı kötü amaçlı yazılımının kullanıldığı gözlemlenmiştir.
Sponsor arka kapının dikkate değer özelliklerinden biri, başka türlü zararsız yapılandırma dosyalarını kurbanın diskindeki gizlemesidir, böylece kötü niyetli parti komut dosyaları tarafından gizli bir şekilde dağıtılabilir ve tespitten kaçınır.
ESET araştırmacıları tarafından belirlenen kampanya, Mart 2021 ve Haziran 2022 arasında, hükümet ve sağlık kuruluşlarını ve finansal hizmetler, mühendislik, üretim, teknoloji, hukuk, telekomünikasyon ve daha fazlasına katılan firmaları hedefleyen.
ESET tarafından gözlemlenen kampanyadaki en hedefli ülkeler İsrail, Brezilya ve Birleşik Arap Emirlikleri.
ESET, büyüleyici yavru kedinin, hedeflerinin ağlarına ilk erişim elde etmek için öncelikle bir Microsoft Exchange uzaktan kod yürütme kırılganlığı olan CVE-2021-26855'ten yararlandığını bildirdi.
Oradan, bilgisayar korsanları veri açığa çıkma, sistem izleme ve ağ infiltrasyonunu kolaylaştıran ve saldırganların tehlikeye atılan bilgisayarlara erişimi sürdürmesine yardımcı olan çeşitli açık kaynaklı araçlar kullandılar.
Bu saldırılarda görülen son yük olan Sponsor Backsoor'u dağıtmadan önce, bilgisayar korsanları, gerekli yapılandırma dosyalarını yazan ana bilgisayardaki belirli dosya yollarına toplu iş dosyaları bırakır.
Bu dosyalar, normal dosyalarla karıştırmak ve şüpheleri yükseltmekten kaçınmak için config.txt, node.txt ve error.txt olarak adlandırılır.
Sponsor, şifreli komut ve kontrol (C2) sunucu adresleri, C2 temas aralıkları ve RC4 şifreleme anahtarı içeren yapılandırma dosyası tarafından talimat verildiği gibi başlatıldıktan sonra bir hizmet oluşturan bir C ++ arka kapısıdır.
Kötü amaçlı yazılım, işletim sistemi derlemesi (32 veya 64 bit) güç kaynağı (pil veya fiş) gibi sistem bilgilerini toplar ve yapılandırma dosyasına yazılan bir düğüm kimliği geri alarak Port 80 üzerinden C2'ye gönderir.
Ardından, Sponsor Backdoor, ana bilgisayarda yürütme komutları almak için yapılandırma dosyası tarafından tanımlanan zaman aralıklarında C2 ile temas ettiği bir döngü girer.
İşte desteklenen komutların bir listesi:
ESET ayrıca, kod optimizasyonları ve bir güncelleyici aracı olarak görünmesini sağlayan bir kılık değiştirme katmanı içeren ikinci bir sponsor sürümünü gördü.
Bu kampanyada kullanılan IP adreslerinin hiçbiri artık çevrimiçi olmasa da, ESET, bu kampanyada konuşlandırılan bazı araçları veya altyapı büyüleyici kedicikleri yeniden kullanan potansiyel gelecekteki tehditlere karşı savunmaya yardımcı olmak için tam IOC'leri paylaştı.
Yeni kötü amaçlı yazılım, veri hırsızlığı için iş yönlendiricilerini enfekte eder, gözetim
CISA: Barracuda ESG Hacks'de kullanılan yeni jakuzi arka kapı
CISA: Hacked Barracuda ESG Aletleri'nde bulunan yeni denizaltı kötü amaçlı yazılım
Fin8 siber suçlu çetesi backround, yeni Sardonik kötü amaçlı yazılımlarla orgs orgs
Facebook Messenger Kimlik Avı Dalgası Haftada 100 bin İşletme Hesapları
Kaynak: Bleeping Computer