DarkGate ve PikaBot gibi kötü amaçlı yazılım aileleri sunan kimlik avı kampanyaları, artık kullanılmayan QakBot truva atından yararlanan saldırılarda daha önce kullanılan taktiklerin aynısını izliyor.
Cofense, The Hacker News ile paylaştığı bir raporda, “Bunlar, ilk enfeksiyon olarak ele geçirilen e-posta dizilerini, kullanıcı erişimini sınırlayan benzersiz kalıplara sahip URL’leri ve QakBot dağıtımında gördüğümüzle neredeyse aynı olan bir enfeksiyon zincirini içeriyor” dedi.
“Kullanılan kötü amaçlı yazılım aileleri aynı zamanda QakBot bağlı şirketlerinin kullanmasını beklediğimiz özelliklere de uyuyor.”
QBot ve Pinkslipbot olarak da adlandırılan QakBot, bu Ağustos ayının başlarında Ördek Avı Operasyonu kod adlı koordineli kolluk kuvvetleri çabasının bir parçası olarak kapatıldı.
DarkGate ve PikaBot’un bu kampanyalarda kullanılması şaşırtıcı değil çünkü her ikisi de güvenliği ihlal edilmiş ana bilgisayarlara ek yükler iletmek için kanal görevi görebilir ve bu da onları siber suçlular için cazip bir seçenek haline getirir.
PikaBot’un QakBot ile paralellikleri daha önce Zscaler tarafından Mayıs 2023’te kötü amaçlı yazılım analizinde vurgulanmış ve “dağıtım yöntemleri, kampanyalar ve kötü amaçlı yazılım davranışları” arasındaki benzerliklere dikkat çekilmişti.
DarkGate, antivirüs sistemleri tarafından tespit edilmekten kaçınmak için gelişmiş tekniklerin yanı sıra tuş vuruşlarını kaydetme, PowerShell’i çalıştırma ve operatörlerinin virüslü bir ana bilgisayarı uzaktan kontrol etmesine olanak tanıyan bir ters kabuk uygulama yeteneklerini de içeriyor.
Sekoia, kötü amaçlı yazılımla ilgili yeni bir teknik raporunda, “Bağlantının çift yönlü olması, saldırganların gerçek zamanlı olarak komut gönderebilmesi ve yanıt alabilmesi, böylece kurbanın sisteminde gezinmesine, verileri sızdırmasına veya başka kötü niyetli eylemler gerçekleştirmesine olanak tanıdığı anlamına geliyor.” dedi.
Cofense’nin yüksek hacimli kimlik avı kampanyasına ilişkin analizi, saldırı zincirlerinin, ele geçirilen e-posta dizilerindeki bir ZIP arşivine işaret eden bubi tuzaklı bir URL’yi yaymasıyla, geniş bir sektör yelpazesini hedef aldığını gösteriyor.
ZIP arşivi, DarkGate veya PikaBot kötü amaçlı yazılımını indirmek ve çalıştırmak için ikinci bir URL ile bağlantı kuran bir JavaScript damlalığı içerir.
Saldırıların kayda değer bir çeşidinin, nihai yükleri teslim etmek için JavaScript bırakıcıları yerine Excel eklentisi (XLL) dosyalarından yararlanıldığı gözlemlendi.
Cofense, “Başarılı bir DarkGate veya PikaBot enfeksiyonu, gelişmiş kripto madenciliği yazılımının, keşif araçlarının, fidye yazılımının veya tehdit aktörlerinin kurbanın makinesine yüklemek istediği diğer kötü amaçlı dosyaların teslim edilmesine yol açabilir” dedi.