Magnet Goblin adlı finansal olarak motive olmuş bir hack grubu, kamuya açık sunucuları ihlal etmek ve Windows ve Linux sistemlerine özel kötü amaçlı yazılım dağıtmak için çeşitli 1 günlük güvenlik açıklarını kullanır.
1 günlük kusurlar, bir yamanın serbest bırakıldığı kamuya açıklanmış güvenlik açıklarını ifade eder. Bu kusurlardan yararlanmak isteyen tehdit aktörleri, bir hedef güvenlik güncellemelerini uygulayabilmeden önce bunu hızlı bir şekilde yapmalıdır.
İstismarlar genellikle bir kusurun ifşası üzerine hemen kullanılabilir olmasa da, bazı güvenlik açıkları nasıl kaldırılacağını bulmak için önemsizdir. Ek olarak, yamanın tersine mühendislik, altta yatan sorunu ve nasıl yararlanılacağını ortaya çıkarabilir.
Mıknatıs Goblin'i belirleyen kontrol noktası analistleri, bu tehdit aktörlerinin yeni açıklanan güvenlik açıklarından yararlandığını bildiriyor, bazı durumlarda bir POC istismarından bir gün sonra kusurlardan yararlanıyor.
Bilgisayar korsanları tarafından hedeflenen bazı cihazlar veya hizmetler Ivanti Connect Secure (CVE-2024-21887, CVE-2024-21888, CVE-2024-21893., Apache Activemq, Connect Screenconnect, Qlik Sens (CVE -2023-41265, CVE-2023-41266, CVE-2023-48365) ve Magento (CVE-2022-24086).
Mıknatıs Goblin, sunucuları özel kötü amaçlı yazılım, özellikle NerbianRat ve Mininerbian ile enfekte etmek için kusurları ve Warpwire JavaScript Stealer'ın özel bir varyantını kullanır.
Windows için NerbianRat 2022'den beri biliniyor, ancak Check Point şimdi Magnet Goblin tarafından kullanılan özensiz derlenmiş ve etkili bir Linux varyantının Mayıs 2022'den beri dolaşımda olduğunu bildiriyor.
İlk lansmandan sonra, kötü amaçlı yazılım, zaman, kullanıcı adı ve makine adı, bot kimliği oluşturma, birincil ve ikincil ana bilgisayar olarak sabit kodlu bir IP adresini ayarlamak, çalışma dizini ayarlamak ve yükleme gibi sistem bilgilerinin toplanması da dahil olmak üzere ön işlemler gerçekleştirir. (AES) ağ iletişimini şifrelemek için genel bir RSA anahtarı.
Bundan sonra NerbianRat, etkinlik sürelerini (çalışma zamanı), komut ve kontrol (C2) sunucusu ve diğer parametrelerle iletişim kurmak için zaman aralıklarını belirleyen yapılandırmasını yükler.
C2, enfekte sistemde yürütme için kötü amaçlı yazılımlara aşağıdaki işlemlerden birini gönderebilir:
Mininerbian, öncelikle komut yürütme için kullanılan ve aşağıdaki eylemleri destekleyen NerbianRat'ın basitleştirilmiş bir versiyonudur:
Mininerbian, C2 ile HTTP aracılığıyla iletişim kurar ve iletişim için ham TCP soketlerini kullanan daha karmaşık NerbianRat'tan ayırır.
Muhtemelen, Mıknatıs Goblin, bazı durumlarda fazlalık veya daha gizli bir arka kapı olarak kullanır.
Check Point, Magnet Goblin'in 1 günlük sömürü verilerinin hacmi arasındaki saldırıları gibi belirli tehditlerin belirlenmesinin zor olduğunu ve bu grupların kusurların açıklanmasını takip eden kaosta açık bir şekilde gizlenmesine izin verdiğini söylüyor.
Yama hızlı bir şekilde 1 günlük sömürü yenmek için kritik öneme sahipken, ağ segmentasyonu, uç nokta koruması ve çok faktörlü kimlik doğrulama gibi ek önlemler potansiyel ihlallerin etkisini azaltmaya yardımcı olabilir.
Stealthy GtpDoor Linux kötü amaçlı yazılım hedefleri mobil operatör ağları
Ubuntu 'komuta bulunmayan' aracı kötü amaçlı yazılım yaymak için istismar edilebilir
Raspberry Robin kötü amaçlı yazılım, Windows istismarlarına erken erişim ile gelişir
Screenconnect Kusurları Yeni Toddlerhark kötü amaçlı yazılımları bırakmak için sömürüldü
Yeni Wograt kötü amaçlı yazılım, kötü amaçlı yazılım depolamak için çevrimiçi not defteri hizmetini kötüye kullanıyor
Kaynak: Bleeping Computer