Bladedfeline, IIS ve Microsoft Exchange sunucularını ihlal etmek için fısıltı ve primecache’den yararlanıyor

ESET araştırmacıları, Kürt ve Irak hükümet yetkililerini hedefleyen İran’a hizalanmış ileri süren bir tehdit (APT) grubu olan Bladedfeline tarafından konuşlandırılan bir dizi kötü amaçlı araç ortaya çıkardılar.

En az 2017’den beri aktif olan Bladedfeline, Orta Doğu’daki siber boyama ile bilinen kötü şöhretli Oilrig Apt grubuna orta güvenle ilişkilendirildi.

Sofistike Siber Tesisat Kampanyası

Grubun 2024’te keşfedilen en son Arsenal, Microsoft Exchange Sunucuları ve İnternet Bilgi Hizmetleri’nden (IIS), tehlikeye giren sistemlere kalıcı erişimi sürdürmek için Whisper Backdoor ve Primecache kötü niyetli IIS modülünü içeriyor.

Bu kampanya sadece Bladedfeline’in gelişen teknik yeteneklerini vurgulamakla kalmaz, aynı zamanda Kürdistan Bölge Hükümeti (KRG), Irak hükümet yetkilileri ve Özbekistan’daki bir telekomünikasyon sağlayıcısı da dahil olmak üzere hedeflerinin stratejik öneminin altını çizmektedir.

Teknik temelleri inceleyen fısıltılı arka kapı, komut ve kontrol (C&C) iletişimi için gizli bir kanal olarak e-posta eklerini kullanarak Microsoft Exchange sunucularına uzlaşarak çalışır.

C#/. Net ile yazılan bu hesaplara günlük olarak yazılır, belirli mesajları filtrelemek için gelen kutusu kurallarını belirler ve dosya manipülasyonu ve PowerShell komut dosyası yürütme gibi komutları yürütür ve sonuçları şifreli ekler yoluyla saldırganlara geri gönderir.

Base64 kodlu kimlik bilgilerine sahip bir XML dosyasında depolanan yapılandırması, kullanıcı müdahalesi olmadan sorunsuz çalışma sağlar.

Fısıltının teknik karmaşıklıkları

Öte yandan, yerel bir IIS modülü olan Primecache, operatör komutlarını işlemek için belirli çerez başlıklarıyla HTTP isteklerini filtreleyerek pasif bir arka kapı olarak işlev görür.

Seleflerinden farklı olarak, eylemleri birden fazla istek içine ayırır, yürütmeden önce küresel olarak parametreleri saklar ve güvenli C&C iletişimi için RSA ve AES-CBC şifrelemesini kullanır.

Paylaşımlı kod yapıları ve kripto ++ kütüphanesinin kullanımı da dahil olmak üzere Primecache ve Oilrig’in RDAT arka kapısı arasındaki benzerlikler, Bladedfeline ve Oilrig arasındaki bağlantıyı daha da güçlendirir.

ESET araştırmacılarına göre, Bladedfeline’in operasyonlarının kapsamı, yüksek değerli hedeflere erişimi sürdürmek için hesaplanmış bir çaba ortaya koyuyor.

2017’den bu yana, grup Shahmaran arka kapı gibi çeşitli araçlar ve KRG sistemlerinde Lara ve Pinar gibi ters tüneller, Irak yetkililerini Virustotal’a yüklenen araçlarla hedeflemenin yanı sıra kullandı.

İnternete bakan web sunucularında potansiyel olarak güvenlik açıklarını içeren sömürü taktikleri, flog gibi web kabuklarının konuşlandırılmasına izin vererek dayanaklarını geliştirdi.

Jeopolitik motivasyonlar, KRG’nin diplomatik bağlarına açık bir erişimdir ve Irak’ın ABD’li işgali stratejik manzarası İran hizalanmış aktörler için önemli casusluk fırsatları sunmaktadır.

Bladedfeline’ın kaygan yılanelet ve ek kamu hizmetleri gibi araçlarla kanıtlanan sürekli kötü amaçlı yazılım gelişimi, güçlü karşı önlemler gerektiren kalıcı bir tehdidi gösteriyor.

Uzlaşma Göstergeleri (IOCS)

Özel Web Semineri Uyarısı: Gelişmiş API Güvenliği İçin Intel® İşlemci Yeniliklerini Koşullandırma – Ücretsiz Kayıt