Çinli Bilgisayar Korsanlarından Gelen Özel Bir Arka Kapı Kötü Amaçlı Yazılım

Yakın tarihli bir analizde, yeni tasarlanmış özel bir arka kapı olan MQsTTang, ESET araştırmacıları tarafından incelendi. Kapsamlı bir araştırmanın ardından, bu kötü amaçlı yazılımın kaynağı uzmanlar tarafından kötü şöhretli Mustang Panda APT grubuna atfedildi.

Ocak 2023’ün başlarına kadar uzanan bu devam eden kampanya, yeni keşfedilen arka kapıyla ilişkilendiriliyor. PlugX kötü amaçlı yazılımının özelleştirilmiş sürümleri, dünya çapında veri hırsızlığı saldırılarıyla tanınan kötü şöhretli Mustang Panda APT grubu (namı diğer TA416 ve Bronze President) için tercih edilen silahtır.

Bu grup, hedeflenen kuruluşlardan hassas bilgileri çalmak amacıyla gelişmiş bir kalıcı tehdit (APT) olarak çalışır.

Mustang Panda APT grubu tarafından tanıtılan en son kötü amaçlı yazılım MQsTTang, daha önceki herhangi bir kötü amaçlı yazılıma dayanmayan orijinal bir yaratım gibi görünüyor. Bu, bilgisayar korsanlarının onu algılamayı atlamak ve gruplarına atıfta bulunmayı kısıtlamak için tasarladığını gösteriyor.

Dağıtım

Öncelikli olarak Tayvan ve Ukrayna’ya odaklanan devam eden kampanya, Avrupa ve Asya’daki hükümet ve siyasi kuruluşları hedef alıyor. Bu bölgelerin, jeopolitik önemleri nedeniyle birçok kötü şöhretli bilgisayar korsanlığı grubunun radarında olduğunu belirtmek yerinde olacaktır.

Spear-phishing e-postaları, kötü amaçlı yazılımın dağıtımı için tercih edilen moddur ve yükler, Mustang Panda’nın geçmiş kampanyalarıyla bağlantılı bir kullanıcı tarafından oluşturulan GitHub depolarından indirilir.

Söz konusu kötü amaçlı yazılım, RAR arşivlerinde sıkıştırılmıştır ve sıkıştırıldıktan sonra yürütülebilir durumdadır ve dosya adlarının kendine özgü bir diplomasi teması vardır.

Saldırı zinciri

ESET Raporuna göre MQsTTang, tehdit aktörüne kurbanın bilgisayarında uzaktan komut yürütme yetenekleri sağlayan ve komutların çıktılarını almalarına izin veren “barebone” bir arka kapıdır.

Kötü amaçlı yazılım, yürütülürken kendini kopyalar ve birkaç işlemi başlatan bir komut satırı argümanı içerir. Kalıcılık, sistem başlangıcında kötü amaçlı yazılımı başlatmak için aşağıdaki yol altında yeni bir kayıt defteri anahtarı oluşturarak elde edilir: –

• HKCU\Yazılım\Microsoft\Windows\CurrentVersion\Run

Yeniden başlatmanın ardından yürütülen tek bir görev vardır, o da C2 iletişim görevidir. Yeni arka kapı, komuta ve kontrol sunucusu arasındaki iletişimi kolaylaştırmak için MQTT protokolünü kullanması bakımından atipik bir özelliğe sahiptir.

Kötü amaçlı yazılım, komuta ve kontrol (C2) alt etmelerine dayanma ve savunucular tarafından tespit edilmekten kaçınma konusunda doğuştan gelen bir yeteneğe sahiptir.

Bunun nedeni, aracı aracılığıyla iletişimi kolaylaştıran ve saldırganın altyapısını gizli tutan MQTT’nin kullanılmasıdır. Bu, savunucular tarafından sıklıkla incelenen ve yaygın olarak kullanılan diğer C2 protokollerine kıyasla onu daha az tespit edilebilir bir seçim haline getirir.

MQsTTang kötü amaçlı yazılımı, tespit edilmeden kalmak için, ana bilgisayar sisteminde hata ayıklama veya izleme araçlarının varlığını tespit eden bir mekanizma kullanır. Bu tür araçlar tanımlanırsa, kötü amaçlı yazılım, tespit edilmekten kaçınmak için davranışını uyarlar.

Trend Micro’daki analistler kısa süre önce Mart’tan Ekim 2022’ye kadar uzanan bir Mustang Panda operasyonunun başka bir örneğini tespit etti.

MQsTTang kötü amaçlı yazılımının, geliştirilmesinden sorumlu grubun uzun vadeli cephaneliğine dahil edilip edilmeyeceği veya yalnızca belirli bir operasyon için mi yaratıldığı şu anda belirsiz.

Uzlaşma Göstergeleri

Dosyalar

Ağ Güvenliği Kontrol Listesi – Ücretsiz E-Kitap İndirin