Çinli bilgisayar korsanları SharePoint Kusurlarını Backroors, Fidye Yazılımları ve Yükleyiciler Dağıtımına Serleme

Ünite 42 Araştırmacılar, Microsoft’un rapor edilen araç köyü istismar zinciri ve SharePoint güvenlik açıklarını hedefleyen önemli çakışmalar ve CL-CRI-1040 olarak adlandırılan izlenen bir etkinlik kümesi arasında önemli çakışmalar belirlemiştir.

En azından Mart 2025’ten beri aktif olan bu küme, çoklu protokol backroors, fidye yazılımı ve DLL yan yükleme yükleyicileri içeren Project AK47 adlı özel bir kötü amaçlı yazılım paketi dağıtır.

Microsoft’un analizi, ev sahibi ve ağ tabanlı eserler aracılığıyla yüksek güven bağlantıları olan, Çin tabanlı bir tehdit oyuncusu olan Storm-2603 ile etkinliği ilişkilendiriyor.

Tehdit faaliyetinde örtüşüyor

CL-CRI-1040’ın finansal olarak motive edilen operasyonları, Lockbit 3.0 bağlı kuruluşları ve Warlock istemcisi çift uzatma sitesi ile önceki ilişkileri içerir, ancak eşzamanlı aktör katılımı nedeniyle casusluk bağları göz ardı edilemez.

Retrospektif analiz, Çince konuşan topluluklarda yaygın olarak kötüye kullanılan bir IIS arka kapısının konuşlandırılmasını ortaya koyuyor, ayrıca potansiyel bir Çin bağını önerirken, paylaşılan Tox IDS gibi kanıtlar bunu fidye yazılımı kampanyalarına bağlıyor.

Yinelenen PDB filepatlarının adını taşıyan AK47 Projesi, AK47C2 gibi alt projeleri, DNSClient ve HTTPClient bileşenleri ve AK47 fidye yazılımları aracılığıyla destekleyen bir arka kapıyı kapsar, X2ANYLOCK dosya uzatması nedeniyle x2anylock olarak açıkça bilinir.

Çok yönlü bir kötü amaçlı yazılım cephaneliği

DNSClient sürümlerde gelişir: 202503 başlarında iterasyonlar, updaticfosoft gibi alt alanlar üzerinde xor kodlu json kullanın.[.]com, verileri DNS sorgu sınırlarını atlamak için parçalanırken, 202504, güvenilir komut yürütme ve sonuç eksfiltrasyonu için oturum anahtarlarıyla JSON olmayan formatlara basitleştirilir.

HTTPClient bunu kodlanmış JSON yüklerinin curl tabanlı HTTP yayınlarıyla yansıtıyor. Fidye yazılımı AES-RSA hibrit şifrelemesini kullanır, süreçleri sona erdirir, sürücüleri numaralandırır ve müzakereler için tutarlı bir Tox ID ile notlar düşürür.

Unit42 raporuna göre, belirli nesneler üzerindeki zaman damgası kontrolleri, 6 Haziran sonrası 2026 sonrası kendi kendini sonlandırma ile kaçınma içerir. Yükleyiciler, fidye yazılımı giriş noktalarını çağırmak için 7Z.exe gibi meşru yürütülebilir ürünlerle DLL yan yüklemeyi kötüye kullanır.

PypyKatz, SharphostInfo, Masscan ve Psexec dahil olmak üzere arşivlerde ek araçlar, bağlı kuruluş bağlantılarını doğrulayan Lockbit 3.0 damlalıkları ile geniş bir hackleme araç seti gösterir.

CL-CRI-1040’ın Lockbit 3.0’dan Warlock istemci işlemlerine geçişi, sızdırılmış veritabanları ve paylaşılan Tox ID’leri ile kanıtlandı, ancak Microsoft’un Storm-2603 raporu, doğrudan ikili örtüşmeler olmadan önceki büyücü fidye yazılımı dağıtımlarını not ediyor.

Araç kabuğu zinciri, bu yükleri teslim etmek için CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 ve CVE-2025-53771 gibi CVES’ten yararlanır.

Kötü amaçlı yazılım analizi için gelişmiş orman yangını, gelişmiş URL filtreleme ve kötü amaçlı alanlar için DNS güvenliği ve uç nokta savunması için Cortex XDR/XSIAM dahil olmak üzere Palo Alto Networks korumaları bu tehditleri hafifletir.

Bu gelişen küme, siber suçları potansiyel devlet destekli unsurlarla harmanlayan karmaşık aktör işbirliklerini vurgular.

Uzlaşma göstergeleri

The Ultimate SOC-as-a-Service Pricing Guide for 2025– Ücretsiz indir