Kaspersky, Lazarus APT'nin nükleer kuruluşları hedef alan yeni CookiePlus kötü amaçlı yazılımını keşfetti

Kaspersky'nin Global Araştırma ve Tahlil Grubu (GReAT) tarafından yapılan açıklamaya nazaran, Lazarus'un "Operation DreamJob" ismi verilen kıymetli operasyonu, beş yılı aşkın müddettir devam eden yeni ve sofistike taktiklerle evrilmeye devam ediyor. Son maksatlar ortasında, nükleer alanla ilgili bir kuruluşun çalışanları bulunuyor. Bu şahıslar, IT profesyonelleri için hazırlanan yetenek kıymetlendirme testleri üzere görünen, tehlikeli hale getirilmiş üç farklı arşiv evrakı aracılığıyla enfekte edildi. Süregelen bu kampanya, yeni keşfedilen ve açık kaynaklı bir eklenti üzere gizlenen CookiePlus isimli modüler bir art kapı yazılımı da dahil olmak üzere, gelişmiş berbat hedefli yazılımlar kullanıyor.

Kaspersky'nin Global Araştırma ve Tahlil Grubu (GReAT), makus şöhretli Lazarus kümesiyle irtibatlı olan ve "DeathNote" olarak da bilinen Operation DreamJob ile alakalı yeni bir kampanya keşfetti. Birinci olarak 2019 yılında ortaya çıkan ve dünya genelindeki kripto para işletmelerini maksat alan bu kampanya, yıllar içinde değerli ölçüde evrildi. 2024 yılında, Avrupa, Latin Amerika, Güney Kore ve Afrika'daki IT ve savunma şirketlerini gaye alacak formda genişledi. Kaspersky'nin son raporu, bu operasyonun yeni bir etabına dair değerli bilgiler sunuyor. Rapora nazaran, kampanya Brezilya'daki nükleer irtibatlı bir kuruluşun çalışanlarını ve Vietnam'daki kimliği belgisiz bir dalda çalışan bireyleri gaye alıyor.

Bir ay içerisinde Lazarus, tıpkı kuruluştan en az iki çalışanı gaye alarak, önde gelen havacılık ve savunma şirketlerindeki IT durumları için yetenek kıymetlendirme testleri üzere görünen birden fazla arşiv evrakı gönderdi. Birinci basamakta, Lazarus tıpkı kuruluştaki A ve B isimli iki çalışana bu arşiv evraklarını ulaştırdı. Bir ay sonra ise birinci maksat üzerinde daha agresif ataklar gerçekleştirmeye çalıştı. Birinci talimatları iletmek ve maksatlara erişim sağlamak için muhtemelen LinkedIn üzere iş arama platformlarını kullandılar.

Lazarus, dağıtım yollarını geliştirerek ve farklı çeşitlerde makus gayeli yazılımları içeren karmaşık bir enfeksiyon zinciriyle kalıcılığını artırarak faaliyetlerini sürdürüyor. Bu prosedürler ortasında bir indirici, yükleyici ve art kapı yazılımı yer alıyor. Küme, trojanlaştırılmış VNC yazılımı, Windows için uzaktan masaüstü görüntüleyici ve öteki bir yasal VNC aracı kullanarak çok basamaklı bir hücum gerçekleştirdi. Birinci evrede, berbat hedefli bir AmazonVNC.exe evrakı kullanılarak, VNC yürütülebilir belgesinin dahili kaynaklarını çıkarmak için Ranid Downloader isimli bir indirici şifresi çözüldü ve çalıştırıldı. İkinci bir arşiv, MISTPEN isimli makus maksatlı yazılımı yükleyen makûs maksatlı bir vnclang.dll evrakını içeriyordu. Bu yazılım, RollMid ve LPEClient’ın yeni bir varyantı da dahil olmak üzere ek yükleri indirdi.

Kurban ana bilgisayarında oluşturulan makûs gayeli evrakların rotası

Ayrıca, GReAT uzmanlarının CookiePlus ismini verdiği, daha evvel görülmemiş bir eklenti tabanlı art kapı yazılımı da kullandılar. Bu makûs maksatlı yazılım, açık kaynaklı bir Notepad++ eklentisi olan ComparePlus, olarak gizlenmişti. Sisteme yerleştikten sonra, bilgisayar ismi, süreç kimliği ve belge yolları üzere sistem datalarını topluyor ve ana modülünü muhakkak bir müddet "uyku" modunda bırakıyordu. Ayrıyeten, bir yapılandırma belgesini değiştirerek çalıştırma takvimini ayarlıyordu.

Kaspersky Küresel Araştırma ve Tahlil Takımı güvenlik uzmanı Sojun Ryu.”Operation DreamJob, kimlik hırsızlığı yahut casusluk maksadıyla kullanılabilecek hassas sistem bilgilerini topladığı için data hırsızlığı üzere değerli riskler barındırıyor. Makus gayeli yazılımın aksiyonlarını geciktirebilme yeteneği, sisteme sızdığı anda tespit edilmesini engelleyerek sistemde daha uzun mühlet kalmasına imkan tanıyor. Belli yürütme vakitlerini ayarlayarak, fark edilmeden çalışabileceği aralıklarda faaliyet gösterebiliyor. Ayrıyeten, sistem süreçlerini manipüle edebilmesi, tespit edilmesini zorlaştırıyor ve sistem üzerinde daha fazla ziyan yahut istismar potansiyeli yaratabiliyor.’”

Kaynak: (BYZHA) Beyaz Haber Ajansı