Charming Kitten Group Powershell Arka Kapısını Dağıtın

TA453 olarak da bilinen Charming Kitten, 2017’den beri çeşitli saldırılar düzenleyen İran hükümeti merkezli bir siber savaş grubudur.

Mayıs 2023’ün ortalarında, bu tehdit aktörleri, “Küresel Güvenlik Bağlamında İran” adlı bir projenin geri bildirimiyle ilgili olarak Birleşik Kraliyet Hizmetleri Enstitüsü’nün (RUSI) Kıdemli Üyesi kılığında iyi niyetli bir e-posta gönderdi.

E-posta ayrıca, tehdit aktörlerinin kurbanlara inanmanın bir parçası olarak temas kurduğu diğer nükleer güvenlik uzmanlarından da oluşuyordu. Bu e-posta kampanyası için kullanılan e-posta hesaplarının oluşturulduğu ve gizliliğinin ihlal edilmediği tespit edildi.

Charming Kitten – TTP’lerine Genel Bakış

İlk e-postadan sonra tehdit aktörleri, kurbanları şifreyle şifrelenmiş bir .rar dosyası (Abraham Accords & MENA.rar) ve .LNK dosyasından (Abraham Accords & MENA) oluşan bir Dropbox URL’sine yönlendiren Google komut dosyası makrolarını hedeflerine gönderir. .pdf.lnk).

Dropper ve Ek Kötü Amaçlı Yazılım

.LNK dosyası (Abraham Accords & MENA.pdf.lnk), Gorjol işlevini kullanan ve C2 sunucusuyla bağlantı kurmak için çeşitli PowerShell komutlarını yürüten damlalık görevi görür. Bağlantı kurulduktan sonra, sunucudan base64 kodlu bir .txt dosyası (ilk Borjol işlevi) indirir.

Bu Borjol işlevinin kodu çözüldükten sonra işlev, fuschia-rhinestone.cleverapps adresinde bulunan C2 ile iletişim kurar.[.]İlk Borjol işlevinde aynı değişkenleri kullanan başka bir şifreli Borjol işlevini (ikinci Borjol işlevi) indirmek için io.

Bu ikinci Borjol işlevi, tehdit aktörleri tarafından sistemde kalıcılık elde etmek için kullanılan PowerShell Arka Kapısının (GorjolEcho) şifresini çözer. Bu arka kapı, verilerin C2’ye sızmasından önce bir sahte PDF ile başlatılır.

Mac Kötü Amaçlı Yazılım

Proofpoint’in araştırmasına göre, kötü amaçlı yazılım bir Apple bilgisayarında çalışmadı. Ancak, ilk iletişimden bir hafta sonra tehdit aktörleri, Mac işletim sistemlerine de saldırabilecek başka bir yeni bulaşma zinciri gönderdi.

Bu kez, bir Apple betik dosyasını çalıştıran ve işlevi C2 () ile indirmek için curl komutunu kullanan bir RUSI VPN Çözümü kılığında kötü amaçlı yazılım gönderdiler.kütüphane mağazası[.]yanlış[.]kuruluş/DMPR/[alphanumeric string]) 144.217.129’a çözümleniyor[.]176, bir OVH IP’si.

PowerShell arka kapısı yerine bu sefer sistemde kalıcılık sağlamak için bir bash betiği (NokNok) kullanıldı.

Tespit çabalarından kaçınmak ve ilgilendiği hedefe karşı siber casusluk operasyonları yürütmek için TA453, bulaşma zincirlerini önemli ölçüde değiştirmeye devam ediyor.

Google Scripts, Dropbox ve CleverApps’in kullanılması, TA453’ün tehdit avcılarından kaynaklanan kesintileri muhtemelen sınırlandırma çabalarında bir çoklu bulut stratejisine bağlı kalmaya devam ettiğini gösteriyor.

Uzlaşma Göstergeleri

“Yapay zeka tabanlı e-posta güvenlik önlemleri İşletmenizi E-posta Tehditlerinden Koruyun!” – Ücretsiz Demo İsteyin.