Bilgisayar Korsanları Kötü Amaçlı Yazılım Sunmak İçin Arama Motoru Reklamlarını Kötüye Kullanıyor

Tehdit aktörleri, kurbanları kötü amaçlı yazılım indirmeye teşvik etmek için kötü amaçlı web sitelerinin reklamlarını satın alıyor ve bu da sonuçta veri hırsızlığına ve fidye yazılımlarına yol açabilir.

Bu teknik, belirli hedef kitleler, coğrafi konumlar, IP adresi aralıkları, tarama geçmişi ve cihaz türleri gibi çok çeşitli kontroller sağladığından, arama motoru reklamları ve sosyal medya reklamları da dahil olmak üzere çeşitli reklam platformlarında kullanıldı.

Arama Motoru Reklamları Kötü Amaçlı Yazılım Sağlıyor

Cyber ​​Security News ile paylaşılan raporlara göre, bu kötü amaçlı reklam kampanyalarının araştırılması sırasında dört farklı kötü amaçlı yazılım ailesi gözlemlendi:

• KAĞIT DAMLA – HTTPS ile iletişim kuran ve ayrıca DANABOT’u indirip çalıştıran VBScript tabanlı indirici.
• KAĞIT KAĞIT – VBScript tabanlı indiricinin yerel işlemlerin listesini numaralandırdığı gözlemlendi.
• DETAYLAR – Delphi’de yazılmış ve TCP üzerinden özel ikili protokol kullanan arka kapı.
• KARANLIK – Tuş vuruşlarını yakalama, komutları yürütme, dosya aktarımı ve kimlik bilgileri hırsızlığı yapabilen, Delphi’de yazılmış arka kapı.

Buna ek olarak, ikisinde cURL ikili dosyasının yeniden adlandırılmış bir sürümünü kullanan üç farklı dağıtım zinciri gözlemlendi.

Enfeksiyon Zinciri #1: PAPERDROP > DANABOT

Bu enfeksiyon zincirinde, wscript.exe işlemi bir DNS isteği başlatmak için kullanılır; bu istek daha sonra Windows kurulum yardımcı programı msiexec.exe’yi çalıştırır ve bir uygulamayı yükler. Ayrıca, damlalık DLL’sini yüklemek için rundll32.exe işlemini kullanır ve DANABOT yükünü başlatmak için “başlat” işlevini yürütür.

Enfeksiyon Zinciri #2: PAPERTEAR > YENİDEN ADLANDIRILMIŞ CURL > DARKGATE

Bu ikinci enfeksiyon zincirinde, PAPERTEAR indiricisi bilgi kataloğuna bir HTTP POST isteği başlatır.[.]8080 numaralı bağlantı noktası üzerinden resimler. Bundan sonra, wscript.exe, sonunda DARKGATE kötü amaçlı yazılımını kurbanın sistemine bırakan tek satırlık komutu yürütür.

Enfeksiyon Zinciri #3: PAPERDROP > YENİ ADLANDIRILMIŞ CURL > DANABOT

Üçüncü yürütme zinciri ikinciye benzer ancak burada PAPERDROP indiricisi, DANABOT kötü amaçlı yazılımını düşüren kötü amaçlı bir paket dosyasını indirmek ve yüklemek için yeniden adlandırılan curl.exe ikili dosyasını kullanan başka bir genişletilmiş tek satırlık dosyayı yürütür.

Ayrıca, kötü amaçlı yazılımların yetenekleri, yürütme yöntemleri, zincirler ve diğer bilgiler hakkında ayrıntılı bilgi sağlayan eksiksiz bir rapor yayınlandı.

Uzlaşma Göstergeleri