Kaspersky "yeni bulaşma" yöntemlerini raporladı
Kaspersky tarafından yapılan açıklamaya göre, öne çıkan bazı özellikler arasında gizli VNC erişimi, Windows Defender'ı etkisiz hale getirme, tarayıcı geçmişini ele geçirme, tersine proxy kullanımı, dosya yönetimi ve Discord kimlik bilgisi çalma gibi özellikler bulunmaktadır.
DarkGate'in çalışma prensibi, yükleyicinin yüklenmesine yol açmak için karmaşık bir şekilde tasarlanmış dört aşamadan oluşan bir zincir içeriyor. Bu yükleyiciyi diğerlerinden ayıran şeyin ise özel bir karakter seti kullanarak dizeleri kişiselleştirilmiş anahtarlarla ve Base64 kodlamasının özel bir versiyonuyla şifrelemenin benzersiz bir yolunu bulmuş olması görülüyor.
Kaspersky'nin araştırması ayrıca 2021'de kapatıldıktan sonra yeniden ortaya çıkan ünlü Emotet botnetinin bir faaliyetini de mercek altına aldı. Bu son kampanyada farkında olmadan zararlı OneNote dosyalarını açan kullanıcılar, gizli bir VBScript'in yürütülmesini tetikliyor.
Daha sonrasında komut dosyası sisteme başarıyla sızana kadar çeşitli web sitelerinden zararlı yükü indirmeye çalışıyor. Emotet içeri girdikten sonra geçici dizine bir DLL yerleştiriyor ve sonrasında bunu çalıştırıyor. Bu DLL, şifrelenmiş içe aktarma işlevleriyle birlikte gizli talimatlar veya kabuk kodu içeriyor. Emotet, kaynak bölümünden belirli bir dosyanın şifresini çözerek üstünlüğü ele geçiriyor ve en son aşamada kötü amaçlı yükünü çalıştırıyor.
Son olarak Kaspersky, gemi kargo taşımacılığı şirketlerini hedef alan bir kimlik avı kampanyası tespit etti. İlk olarak 2016'da tanımlanan bu bilgi hırsızı, tarayıcılar ve FTP istemcileri dahil olmak üzere çeşitli uygulamalardan kimlik bilgilerini çalmak için tasarlandı.
Söz konusu e-postalar, kullanıcılardan makroları etkinleştirmelerini isteyen bir excel belge eki taşıyor. Saldırganlar Microsoft Office'teki bilinen bir güvenlik açığından (CVE-2017-0199) faydalanarak bir RTF belgesinin indirilmesine yol açıyor. Bu RTF belgesi daha sonra LokiBot kötü amaçlı yazılımını teslim etmek ve çalıştırmak için başka bir güvenlik açığından (CVE-2017-11882) yararlanıyor.
Açıklamada görüşlerine yer verilen Kaspersky Global Araştırma ve Analiz Ekibi Kıdemli Güvenlik Araştırmacısı Jornt van der Wiel, "Emotet'in yeniden görülmesi ve Lokibot'un sürekli varlığının yanı sıra DarkGate'in ortaya çıkması, karşı karşıya olduğumuz sürekli gelişen siber tehditlerin çarpıcı bir hatırlatması niteliğinde. Bu zararlı yazılım türleri ortama uyum sağlayıp yeni bulaşma yöntemlerini benimsedikçe, bireylerin ve işletmelerin tetikte olması ve sağlam siber güvenlik çözümlerine yatırım yapması önem kazanıyor. Kaspersky'nin devam eden araştırmaları sırasında DarkGate, Emotet ve Lokibot'u tespit etmesi, gelişen siber tehlikelere karşı korunmak için proaktif önlemlerin öneminin altını çiziyor." ifadelerini kullandı.
"Üye/Üyeler suç teşkil edecek, yasal açıdan takip gerektirecek, yasaların ya da uluslararası anlaşmaların ihlali sonucunu doğuran ya da böyle durumları teşvik eden, yasadışı, tehditkar, rahatsız edici, hakaret ve küfür içeren, aşağılayıcı, küçük düşürücü, kaba, pornografik ya da ahlaka aykırı, toplumca genel kabul görmüş kurallara aykırı, kişilik haklarına zarar verici ya da benzeri niteliklerde hiçbir İçeriği bu web sitesinin hiçbir sayfasında ya da subdomain olarak oluşturulan diğer sayfalarında paylaşamaz. Bu tür içeriklerden doğan her türlü mali, hukuki, cezai, idari sorumluluk münhasıran, içeriği gönderen Üye/Üyeler'e aittir. MİLAT GAZETESİ, Üye/Üyeler tarafından paylaşılan içerikler arasından uygun görmediklerini herhangi bir gerekçe belirtmeksizin kendi web sayfalarında yayınlamama veya yayından kaldırma hakkına sahiptir. Milat Gazetesi, başta yukarıda sayılan hususlar olmak üzere emredici kanun hükümlerine aykırılık gerekçesi ile her türlü adli makam tarafından başlatılan soruşturma kapsamında kendisinden Ceza Muhakemesi Kanunu'nun 332.maddesi doğrultusunda istenilen Üye/Üyeler'e ait kişisel bilgileri paylaşabileceğini beyan eder. "
Yorum yazma kurallarını okudum ve kabul ediyorum.