Bilgisayar korsanları PDF faturalarından Windows, Linux ve MacOS Systems için istismar

FortiMail olay müdahale ekibinin yakın tarihli bir keşfi, İspanya, İtalya ve Portekiz’deki kuruluşları hedefleyen son derece sofistike bir e -posta kampanyası ortaya koydu.

Bu saldırı, esas olarak Windows sistemlerini etkileyen, aynı zamanda Java Runtime ortamının (JRE) kurulduğu Linux ve MacOS ortamlarına bir tehdit oluşturan, Ratty olarak bilinen güçlü bir uzaktan erişim Trojan (sıçan) dağıtır.

Kampanya, çeşitli alan adları adına e -posta gönderme, SPF (Gönderen İlkesi Çerçevesi) kontrollerini geçme ve e -posta güvenlik filtrelerini endişe verici bir şekilde atlama yetkisine sahip meşru İspanyol e -posta hizmet sağlayıcısı ServioDecorreo.es’den yararlanır.

– Reklamcılık –

Bu aldatıcı meşruiyet, gelişmiş kaçırma taktikleri ile birleştiğinde, saldırganların komutlar, günlük tuş vuruşları, erişim dosyaları ve hatta web kameralarını veya mikrofonları etkinleştirme yeteneği de dahil olmak üzere enfekte sistemler üzerinde tam kontrol sağlayan kötü amaçlı yükler sunmalarını sağlar.

Çok katmanlı kaçırma taktikleri ve enfeksiyon zinciri

Enfeksiyon zinciri, fatura olarak gizlenmiş bir PDF eki içeren görünüşte zararsız bir e -posta ile başlar, genellikle sosyal mühendislik yoluyla alıcılardan aceleci eylemi teşvik etmek için acil bir dil taşır.

PDF’yi açtıktan sonra, kullanıcılara bir Dropbox bağlantısı aracılığıyla “Fattura” (“Fatura” için İtalyan) adlı bir HTML dosyası indirmeleri talimatı verilir.

Bu dosya, saldırının kökenini maskelemek için kullanılan bir tünelleme aracı olan NGROK aracılığıyla dinamik olarak oluşturulan bir URL’ye yönlendirmeden önce temel bir “Ben bir robot değilim” doğrulaması içerir.

Ngrok’un coğrafi tabanlı gizlenmesi, belirtilen coğrafi konum içindeki kurbanlara kötü amaçlı bir JAR dosyası (FA-43-03-2025.jar) sunarken, İtalya gibi hedeflenen bölgelerin dışındaki kullanıcılara zararsız içerik (örn. Google Drive belgesi) sunarak algılamayı daha da karmaşıklaştırır.

Mediafire gibi meşru platformlarda barındırılan bu JAR dosyası, Java’nın her yerde bulunması nedeniyle platformlar arası sömürü yapabilen Java tabanlı bir sıçan olan Ratty kötü amaçlı yazılım içerir.

Rapora göre, kampanyanın güvenilir dosya paylaşım hizmetleri ve jeo-fencing teknikleri kullanımı, güvenlik sistemleri ve kum havuzları genellikle hedefli olmayan yerlerden analiz ederek kötü niyetli yükü eksik olduğu için erken tespit risklerini önemli ölçüde azaltır.

Bu çok katmanlı strateji, meşru altyapıların kötüye kullanılması ile birleştiğinde, kötü amaçlı yazılım dağıtım metodolojilerinin artan karmaşıklığını vurgular ve geleneksel güvenlik önlemlerini bu tür hedefli saldırılara karşı daha az etkili hale getirir.

Fortinet’in Fortimail, Fortiguard Services ve Fortisandbox dahil olmak üzere koruyucu çözümleri, antivirüs imzaları, içerik silahsızlandırılması ve gerçek zamanlı aksisyenlik karşıtı yetenekleri aracılığıyla bu tehditleri tespit ederek ve engelleyerek sağlam savunmalar sunuyor.

Ayrıca Fortinet, bu tür saldırılar için kritik bir giriş noktası olan insan hatasını azaltmak için güvenlik bilinci eğitimi (SAT) ve kimlik avı simülasyonları yoluyla kullanıcı eğitiminin önemini vurgulamaktadır.

Uzlaşma Göstergeleri (IOCS)

Referans ve azaltma amaçları için bu kampanyayla ilişkili teknik göstergeler aşağıdadır:

SOC ekibini kurmak mı? -SOC ekibiniz için ücretsiz Ultimate SIEM Fiyatlandırma Kılavuzu’nu (PDF) indirin -> Ücretsiz İndir