AWS Lambda URL uç nokta istismarları aracılığıyla hedeflenen hükümet kuruluşları

Ünite 42 Palo Alto Networks’ten araştırmacılar, Güneydoğu Asya’daki hükümet kuruluşlarını sistematik olarak hedefleyen CL-STA-1020’yi belirleyen sofistike bir tehdit kümesi izliyor.

Bu operasyon, devlet kurumlarından hassas verilerin çıkarılmasına, özellikle de son tarifeleri ve ticaret anlaşmazlıklarını çevreleyen ayrıntıları, casusluk ve istihbarat toplantısına dayanan bir nedenin altını çizmeye odaklanmaktadır.

Kampanya, gizli bir komut ve kontrol (C2) altyapısı oluşturmak için AWS lambda URL’lerini kullanan Hozybeacon olarak adlandırılan daha önce belgelenmemiş bir Windows arka kapının yenilikçi kullanımı için öne çıkıyor.

Roman arka kapı ortaya çıkıyor

Tehdit aktörleri, HTTPS uç noktaları aracılığıyla çağrılan meşru AWS sunucusuz işlevlerinden yararlanarak, geleneksel ağ savunmalarından kaçan, iyi huylu bulut trafiğiyle sorunsuz bir şekilde karışan ölçeklenebilir, esnek bir iletişim kanalı oluşturur.

İlk olarak Haziran 2025’te Trellix tarafından gelişmiş Kalıcı Tehdit (APT) faaliyetleriyle ilgili olarak vurgulanan bu teknik, kötü niyetli operasyonların rutin AWS etkileşimleri olarak maskeli işlemlerin ağır bulut bağımlılıkları olan ortamlarda tespiti karmaşıklaştırmasına izin verir.

Saldırı zinciri, rakiplerin kötü amaçlı mscorsvc.dll’yi meşru Microsoft yürütülebilir MSCORSVW.EXE’nin yanında C: \ Windows \ Assembly dizinindeki dll sideloading ile başlar.

İlişkili Windows Hizmeti aracılığıyla yürütüldükten sonra, sideloaded DLL, lambda-url.ap-southeast-1.on.aws alt alanlarına karar verenler gibi saldırgan kontrollü bir AWS lambda URL’sine işaret etmeye başlar.

Kalıcılık, msdnetsvc adlı özel bir Windows hizmetinin oluşturulmasıyla sağlanır ve arka kapının yeniden yeniden yayın sonrası yeniden etkinleştirilmesini sağlar.

Bağlandıktan sonra, HozyBeacon, dosya arşivleme için 7z.exe ve veri toplama ve eksfiltrasyon için özel yardımcı programlar gibi meşru araçlar da dahil olmak üzere C: \ ProgramData’ya ek yükler indirir.

Örneğin, IGFX.EXE yükü, tanımlanmış zaman aralıkları içinde belirtilen uzantıları tarayan ve sonuçları uzlaşmış makinenin adını alan zip arşivlerine sıkıştıran bir dosya toplayıcısı olarak hizmet eder.

Bu arşivler daha sonra 7z.exe kullanılarak 200 MB parçalara ayrılır ve “ABD Başkanına Tarifeler Önlemleri Mektubu” gibi ticaret anlaşmazlıklarıyla ilgili belgeler için hedeflenen keşifleri kolaylaştırır.

Pessfiltrasyon taktikleri

Exfiltration çabaları, aktörlerin meşru trafikle harmanlamaya olan vurgusunu, Google Drive depolarını sağlanan sürücü kimlikleri aracılığıyla kimlik doğrulaması için Google.exe gibi özel araçlar kullandığını, ardından Google.exe, GoogLeDrive.exe ve GOOGLEDRiveUpload.ex gibi yükleyicileri kullanıyor.

Benzer şekilde, dropbox.exe, normal kurumsal etkinliği taklit etmek için güvenilir bulut depolama hizmetleri aracılığıyla açılan dosyaları yönlendiren Dropbox’a yüklemeleri işler.

Rapora göre, bu denemeler izlenen ortamlarda tespit edilmiş ve engellenmesine rağmen, işlem, yükleri, arşivleri ve izleri silerek, adli ayak izlerini en aza indiren temizleme komutlarıyla sona ermektedir.

2022 yılında API ağ geçidi yükü olmadan doğrudan HTTPS işlev çağrısı için tanıtılan AWS Lambda’nın bu kötüye kullanılması, kalıcı sunucular olmadan dinamik C2 de dahil olmak üzere taktik avantajlar sağlar ve Amazonaws.com alanlarının meşru trafikte yaygınlığından yararlanır.

Kampanya, rakiplerin kötülük için bulut anadili özelliklerini nasıl yeniden kullandığını ve güvenlik ekiplerini anormal bulut iletişiminin izlenmesini ve sunucusız etkileşimlerdeki sapmaları tespit etmek için davranışsal analizleri benimsemesini istemektedir.

Uzlaşma göstergeleri

Günlük Siber Güvenlik Haberleri’nde güncel olun. Bizi takip edin Google News, LinkedIn ve X’te.