Kaspersky araştırmacıları, Haziran 2020'de Vietnam'da çeşitli kuruluşları hedefleyen gelişmiş bir siber casusluk kampanyasını ortaya çıkardı.
Kaspersky açıklamasına göre, söz konusu saldırı etkilenen cihaz üzerinde tam kontrol sağlayan bir uzaktan yönetim aracını temel alıyor. Yapılan detaylı analizler, kampanyanın en az 2013'ten beri aktif olan Çince konuşan tehdit grubu Cycldek ile ilişkili bir grup tarafından yürütüldüğünü ve son derece karmaşık bir yapıya sahip olduğunu ortaya koydu.
Çince konuşan tehdit aktörleri genellikle tekniklerini ve metodolojilerini birbirleriyle paylaşma eğilimi gösteriyor. Bu da Kaspersky araştırmacılarının LuckyMouse, HoneyMyte ve Cycldek gibi tanınmış siber casusluk gruplarıyla ilgili gelişmiş kalıcı tehdit (APT) etkinliklerini avlamasını kolaylaştırıyor.
DLL, yani dinamik bağlantı kitaplıkları, bilgisayardaki diğer programlar tarafından kullanılmak üzere hazırlanan kod parçalarıdır. DLL yan yükleme tekniğinde yasal olarak imzalanmış bir dosya (Microsoft Outlook'tan olduğu gibi), kötü amaçlı bir DLL'yi yüklemesi için kandırılarak saldırganların güvenlik ürünlerini atlamasına olanak tanır.
Yakın zamanda keşfedilen kampanyada DLL yan yüklemeli bulaşma zinciri, son yükün şifresini çözen bir kabuk kodu yürütüyor. Kaspersky'nin FoundCore adını verdiği bu uzaktan erişim Truva Atı, saldırganlara virüslü cihaz üzerinde tam kontrol sağlıyor.
Final yükleme için nihai kodun başlıkları tamamen kaldırılmıştı ve geride kalan birkaç tanesi tutarsız değerler içeriyordu. Saldırganlar, bunu yaparak araştırmacıların kötü amaçlı yazılımları analiz için ayrıştırmasını önemli ölçüde zorlaştırıyor. Dahası, bulaşma zincirinin bileşenleri birbirine sıkı sıkıya bağlı olduğu için parçaların tek başına analiz edilmesi zor, hatta bazen imkansız. Bu da kötü niyetli faaliyetin tam bir resmini ortaya koymayı engelliyor.
Kaynak: AA
dikGAZETE.com