Kaspersky, yeni bulaşma yöntemlerini raporladı: “Emotet geri dönüyor, Lokibot devam ediyor!”

Kaspersky’nin yeni raporu, DarkGate, Emotet ve LokiBot ziyanlı yazılım çeşitlerinin karmaşık bulaşma taktiklerini ortaya çıkardı. DarkGate’in eşsiz şifrelemesi ve Emotet’in güçlü geri dönüşü ortasında LokiBot istismarlarının devam etmesi, siber güvenlik ortamının daima değiştiğini gösteriyor.

Kaspersky araştırmacıları, Haziran 2023’te alışıldık fonksiyonelliğinin ötesine geçen yeni bir dizi özelliğe sahip DarkGate isimli yeni bir yükleyici keşfetti. Dikkat çeken özelliklerden kimileri ortasında zımnî VNC, Windows Defender’ı atlatma, tarayıcı geçmişini çalma, aksi proxy, evrak idaresi ve Discord belirteci çalma üzere özellikler yer alıyor. DarkGate’in çalışma prensibi, DarkGate’in yüklenmesine yol açmak için karmaşık bir halde tasarlanmış dört basamaktan oluşan bir zincir içeriyor. Bu yükleyiciyi başkalarından ayıran şey ise özel bir karakter seti kullanarak dizeleri şahsileştirilmiş anahtarlarla ve Base64 kodlamasının özel bir versiyonuyla şifrelemenin eşsiz bir yolunu bulmuş olması.

Kaspersky’nin araştırması ayrıyeten 2021’de kapatıldıktan sonra tekrar ortaya çıkan ünlü Emotet botnetinin bir faaliyetini de mercek altına aldı. Bu son kampanyada farkında olmadan ziyanlı OneNote evraklarını açan kullanıcılar, bâtın bir VBScript’in yürütülmesini tetikliyor. Daha sonrasında komut evrakı sisteme muvaffakiyetle sızana kadar çeşitli web sitelerinden ziyanlı yükü indirmeye çalışıyor. Emotet içeri girdikten sonra süreksiz dizine bir DLL yerleştiriyor ve sonrasında bunu çalıştırıyor. Bu DLL, şifrelenmiş içe aktarma fonksiyonlarıyla birlikte bâtın talimatlar yahut kabuk kodu içeriyor. Emotet, kaynak kısmından belli bir evrakın şifresini çözerek üstünlüğü ele geçiriyor ve en son kademede makûs hedefli yükünü çalıştırıyor.

Gemi kargo nakliyatını maksat alan LokiBot içeren bir kimlik avı kampanyası devam ediyor…

Son olarak Kaspersky, gemi kargo nakliyatı şirketlerini amaç alan ve tespit etti. Birinci olarak 2016’da tanımlanan bu bilgi hırsızı, tarayıcılar ve FTP istemcileri dahil olmak üzere çeşitli uygulamalardan kimlik bilgilerini çalmak için tasarlandı. Kelam konusu e-postalar, kullanıcılardan makroları etkinleştirmelerini isteyen bir Excel evrak eki taşıyor. Saldırganlar Microsoft Office’teki bilinen bir güvenlik açığından (CVE-2017-0199) faydalanarak bir RTF dokümanının indirilmesine yol açıyor. Bu RTF dokümanı daha sonra LokiBot makus emelli yazılımını teslim etmek ve çalıştırmak için diğer bir güvenlik açığından (CVE-2017-11882) yararlanıyor.

Kaspersky Küresel Araştırma ve Tahlil Grubu Kıdemli Güvenlik Araştırmacısı Jornt van der Wiel, şunları söylüyor: “Emotet’in yine görülmesi ve Lokibot’un daima varlığının yanı sıra DarkGate’in ortaya çıkması, karşı karşıya olduğumuz daima gelişen siber tehditlerin çarpıcı bir hatırlatması niteliğinde. Bu ziyanlı yazılım tipleri ortama ahenk sağlayıp yeni bulaşma sistemlerini benimsedikçe, bireylerin ve işletmelerin tetikte olması ve sağlam siber güvenlik tahlillerine yatırım yapması değer kazanıyor. Kaspersky’nin devam eden araştırmaları sırasında DarkGate, Emotet ve Lokibot’u tespit etmesi, gelişen siber tehlikelere karşı korunmak için proaktif tedbirlerin değerinin altını çiziyor.” 

Securelist’te yeni bulaşma teknikleri hakkında daha fazla bilgi edinebilirsiniz.

Kendinizi ve işletmenizi fidye yazılımı akınlarından korumak için Kaspersky şunları öneriyor:

• Saldırganların güvenlik açıklarından yararlanmasını ve ağınıza sızmasını önlemek için kullandığınız tüm aygıtlardaki yazılımları her vakit şimdiki tutun. 
• Savunma stratejinizi yanal hareketleri ve internete bilgi sızıntılarını tespit etmeye odaklayın. Siber hatalıların ağınıza temaslarını tespit etmek için giden istikametteki trafiğe bilhassa dikkat edin. Davetsiz konukların kurcalayamayacağı çevrimdışı yedeklemeler oluşturun. Gerektiğinde yahut acil bir durumda bunlara süratli bir biçimde erişebileceğinizden emin olun.
• Tüm uç noktalarda fidye yazılımı muhafazasını aktifleştirin. Bilgisayarları ve sunucuları fidye yazılımlarına ve öbür makus emelli yazılım tiplerine karşı koruyan, istismarları önleyen ve evvelce kurulmuş güvenlik tahlilleriyle uyumlu olan ücretsiz Kaspersky Anti-Ransomware Tool for Business ürününü kullanabilirsiniz. 
• Gelişmiş tehdit keşfi ve tespiti, soruşturma ve olayların vaktinde düzeltilmesi için yetenekler sağlayan anti-APT ve EDR tahlillerini yükleyin. SOC takımınıza en son tehdit istihbaratına erişim sağlayın ve onları nizamlı olarak profesyonel eğitimlerle geliştirin. Üsttekilerin tümü Kaspersky Expert Security framework dahilinde mevcuttur.
• SOC grubunuzun en son tehdit istihbaratına (TI) erişimini sağlayın. Kaspersky Threat Intelligence Portal, Kaspersky’nin TI’sına ortak erişim noktasıdır ve takımımız tarafından son 20 yılda toplanan siber taarruz datalarını ve içgörüleri sağlar. Kaspersky, işletmelerin bu sıkıntı vakitlerde tesirli savunmalar sağlamasına yardımcı olmak için aktüel siber ataklar ve tehditler hakkında bağımsız, daima güncellenen ve global kaynaklı bilgilere fiyatsız erişim sağladığını duyurdu. Teklife buradan erişim talep edebilirsiniz.

Kaynak: (BYZHA) Beyaz Haber Ajansı