Kaspersky, Andariel tarafından kullanılan yeni zararlı yazılım ailesini ortaya çıkardı
Kaspersky açıklamasına göre, gelişmiş bir kalıcı tehdit (APT) olan Andariel, Lazarus grubu içinde 10 yıldan uzun bir süredir faaliyet gösteriyor ve Kaspersky araştırmacılarının radarında yer alıyor. Araştırmacılar, son olarak Andariel'in yeni bir kampanyasını buldu ve ek taktiklerini, tekniklerini ve prosedürlerini (TTP'ler) tanımlayan, daha önce belgelenmemiş bir kötü amaçlı yazılım ailesini ortaya çıkardı.
Andariel, komuta ve kontrol (C2) altyapısıyla ek kötü amaçlı yazılımların indirilmesini sağlayan bir Log4j istismarından yararlanarak enfeksiyonları başlatıyor. İndirilen kötü amaçlı yazılımın ilk parçası yakalanmamış olsa da Log4j istismarından kısa bir süre sonra DTrack arka kapısının indirildiği gözlemlendi.
Kaspersky, komut yürütme sürecini incelediğinde araştırmanın ilginç bir yönü ortaya çıktı. Andariel'in kampanyasındaki komutların, yapılan çok sayıda yazım hatasından da anlaşılacağı üzere muhtemelen çok az deneyime sahip bir gerçek operatör tarafından yürütüldüğü belli oldu. Örneğin, operatör "Program" yerine yanlışlıkla "Prorgam" yazıyor. Bulgular devam ederken Kaspersky araştırmacıları Log4j vakalarından birinde EarlyRat'in bir sürümüyle karşılaştı. Bazı vakalarda EarlyRat Log4j güvenlik açığı üzerinden indirilirken, bazılarında ise kimlik avı belgeleri eşliğinde EarlyRat'ın dağıtıldığı keşfedildi.
İşlevsel açıdan basit
EarlyRat, diğer birçok Uzaktan Erişim Truva Atı (RAT) gibi, etkinleştirildikten sonra sistem bilgilerini topluyor ve belirli bir şablon kullanarak komuta kontrol sunucusuna iletiyor. İletilen veriler, ID alanında belirtilen kriptografik anahtarlar kullanılarak şifrelenen benzersiz makine tanımlayıcıları (ID) ve sorguları içeriyor.
İşlevsellik açısından EarlyRat, komutları yürütmekle sınırlı bir basitlik sergiliyor. EarlyRat, daha önce Lazarus tarafından dağıtılan kötü amaçlı yazılım MagicRat ile bazı üst düzey benzerlikler paylaşıyor. Bunlar arasında çerçevelerin kullanımı (MagicRat için QT ve EarlyRat için PureBasic) ve her iki RAT'ın kısıtlı işlevselliği yer alıyor.
Açıklamada görüşlerine yer verilen Kaspersky GReAT Kıdemli Güvenlik Araştırmacısı Jornt van der Wiel, şunları kaydetti:
"Siber suç ortamında değişken yapılarla faaliyet gösteren çok sayıda oyuncu ve gruplarla karşılaşıyoruz. Grupların başkalarının kodlarını benimsemeleri, hatta bağımsız varlıklar olarak kabul edilebilecek bağlı kuruluşların farklı kötü amaçlı yazılım türleri arasında geçiş yapmaları yaygın görülen bir durum. Karmaşıklığa ek olarak, Lazarus'un Andariel'i gibi APT gruplarının alt grupları, fidye yazılımı dağıtmak gibi tipik siber suç faaliyetlerinde bulunuyor. Andariel'de yaptığımız gibi taktiklere, tekniklere ve prosedürlere (TTP'ler) odaklanarak, ilişkilendirme süresini önemli ölçüde azaltabilir ve saldırıları erken aşamalarında tespit edebiliriz."
Teknik analiz ve kapsamlı bulgular da dahil olmak üzere Andariel kampanyası hakkında daha fazla ayrıntı için Securelist.com adresinin ziyaret edilmesi tavsiye ediliyor.
Kaspersky araştırmacıları, bilinen veya bilinmeyen tehdit aktörlerinin hedefli saldırısının kurbanı olmamak için şu önlemlerin alınmasını öneriyor:
"SOC ekibinizin en son tehdit istihbaratına (TI) erişimini sağlayın. Kaspersky Tehdit İstihbaratı Portalı, şirketin TI'sına ortak bir erişim noktasıdır ve Kaspersky tarafından 20 yılı aşkın bir süredir toplanan siber saldırı verilerini ve iç görülerini sağlar. GReAT uzmanları tarafından geliştirilen Kaspersky çevrim içi eğitimiyle siber güvenlik ekibinizi en son hedefli tehditlerle mücadele edecek şekilde geliştirin. Uç nokta düzeyinde tespit, araştırma ve olayların zamanında düzeltilmesi için Kaspersky Endpoint Detection and Response gibi EDR çözümlerini uygulayın. Temel uç nokta korumasını benimsemenin yanı sıra, Kaspersky Anti Targeted Attack Platform gibi gelişmiş tehditleri ağ düzeyinde erken aşamada tespit eden kurumsal düzeyde bir güvenlik çözümü uygulayın. Birçok hedefli saldırı kimlik avı veya diğer sosyal mühendislik teknikleriyle başladığından, ekibinize güvenlik farkındalığı eğitimi verin ve pratik beceriler öğretin. Bunu Kaspersky Otomatik Güvenlik Farkındalığı Platformu aracılığıyla yapabilirsiniz."
"Üye/Üyeler suç teşkil edecek, yasal açıdan takip gerektirecek, yasaların ya da uluslararası anlaşmaların ihlali sonucunu doğuran ya da böyle durumları teşvik eden, yasadışı, tehditkar, rahatsız edici, hakaret ve küfür içeren, aşağılayıcı, küçük düşürücü, kaba, pornografik ya da ahlaka aykırı, toplumca genel kabul görmüş kurallara aykırı, kişilik haklarına zarar verici ya da benzeri niteliklerde hiçbir İçeriği bu web sitesinin hiçbir sayfasında ya da subdomain olarak oluşturulan diğer sayfalarında paylaşamaz. Bu tür içeriklerden doğan her türlü mali, hukuki, cezai, idari sorumluluk münhasıran, içeriği gönderen Üye/Üyeler'e aittir. MİLAT GAZETESİ, Üye/Üyeler tarafından paylaşılan içerikler arasından uygun görmediklerini herhangi bir gerekçe belirtmeksizin kendi web sayfalarında yayınlamama veya yayından kaldırma hakkına sahiptir. Milat Gazetesi, başta yukarıda sayılan hususlar olmak üzere emredici kanun hükümlerine aykırılık gerekçesi ile her türlü adli makam tarafından başlatılan soruşturma kapsamında kendisinden Ceza Muhakemesi Kanunu'nun 332.maddesi doğrultusunda istenilen Üye/Üyeler'e ait kişisel bilgileri paylaşabileceğini beyan eder. "
Yorum yazma kurallarını okudum ve kabul ediyorum.