Ağustos 2023'te FortiGuard Labs, Azerbaycan'daki bir şirketin başkanından geliyormuş gibi görünen ve gönderilen işletmelerin yönetim ekiplerini hedef alan virüslü bir not keşfetti.
Bu notu açanlar, hedeflerden temel bilgileri toplamak için tasarlanmış kötü amaçlı yazılımı indirmiş oluyor.
Saldırının anatomisi
FortiGuard Labs bu saldırıyı, Azerbaycan ve Ermenistan birlikleri arasındaki bir sınır çatışması hakkında bilgi içerdiği iddia edilen bir notu bularak tespit etti. Not HTML formatında geliyor ve şifre korumalı bir arşivi otomatik olarak eklemek için HTML trafiğini kullanıyor. Bu arşiv, notta da belirtildiği gibi, üç resim içeriyor. Arşivde iki temiz görsel ve bir sahte görsel bulunuyor. İçeriklerin tamamı blog yazısından incelenebiliyor.
İlk resim Karabağ olduğu iddia edilen çekici bir manzarayı gösteriyor. Ancak dikkatli bir gözlemci ilk "görüntünün" bir görüntü dosyası olmadığını fark edebilir. Gerçekte bu, bir .MSI (Microsoft Installer) dosyasını indiren bir komutu çalıştıran bir .LNK kısayolu. Bu MS yükleyici dosyası tıklandığında iki eylem gerçekleştiriyor. İlk eylem, sahte resim kısayoluyla aynı dosya adına sahip bir resim görüntülüyor. Açılması istenen diğer resimler savaş halindeki tankları ve stratejik noktaları gösteriyor.
Bu teknik bazı kullanıcıların kısayolun sadece bir resim dosyası olduğunu düşünmesine yol açabilir. Ancak bu elbette bir yanlış yönlendirme. Aslında saldırgan eş zamanlı olarak hedeflenen bilgisayara gizli kötü amaçlı yazılım yüklüyor.
Daha önce rastlanmayan özellik
Bu zararlı yazılım, çoğu kötü amaçlı yazılım yazarının pek tercih etmediği bir programlama dili olan RUST ile programlanıyor. Bu da standart analiz araçlarını ve yöntemlerini kullanmayı biraz daha az kullanışlı hale getiriyor. RUST'ın kullanması bu tehdit aktörünü zaten farklı kılıyor. Ancak, bu zararlı yazılımı farklı kılan tek özellik bu değil.
Bilgiler çalınıyor
Sonuç olarak, zararlı yazılım bir bilgi hırsızı gibi davranarak temel bilgisayardaki tüm bilgileri topluyor ve bunları bir C2 sunucusuna göndererek belli bazı komutları çalıştırıyor. Bu saldırıdaki tehdit aktörü, radarın dışında kalmasına yardımcı olmak ve analizi daha zor hale getirmek için RUST ve mesai sonrası yürütme dahil olmak üzere birkaç gelişmiş teknik kullanıyor.
KAYNAK:yeniakit.com
