FlyingYeti, Hedefli Kötü Amaçlı Yazılım Saldırıları için WinRAR Güvenlik Açıklarından Yararlanıyor

Rusya’nın 24 Şubat 2022’de Ukrayna’yı işgal etmesinden bu yana uluslar arasında ve dünya çapında yoğun gerilimler yaşanıyor.

Bu olayın ardından Ukrayna, ödenmemiş borçlar nedeniyle kamu hizmetlerine Ocak 2024’te sona erecek bir tahliye ve fesih moratoryumu uyguladı.

Ancak bu dönem “FlyingYeti” olarak tanımlanan bir tehdit aktörü tarafından kullanıldı.

Bu tehdit aktörü, Ukrayna vatandaşlarının ödenmemiş borç ve olası konut erişimi kaybı konusundaki endişelerini kullanarak, kurbanları sistemlerine kötü amaçlı yazılım indirme potansiyeline sahip bir dosya indirmeye ikna etmek için borç temalı bir kimlik avı kampanyası yürüttü.

Bu kötü amaçlı yazılım, “COOKBOX” olarak bilinen ve bu tehdit aktörlerinin ek yükler yüklemesine ve kurbanın sistemi üzerinde kontrol sahibi olmasına olanak tanıyan bir PowerShell kötü amaçlı yazılımıydı.

Ayrıca kimlik avı kampanyasında GitHub sunucuları ve Cloudflare çalışanlarının yanı sıra bir WinRAR güvenlik açığı (CVE-2023-38831) kullanıldı.

Tehdit Aktörü Analizi

Cyber ​​Security News ile paylaşılan raporlara göre, FlyingYeti tehdit aktörünün faaliyetleri, 2023 sonbaharında Ukrayna Savunma kuruluşlarını aynı kötü amaçlı yazılımla hedef alan, daha önce tanımlanan UAC-0149 olarak bilinen bir tehdit aktörüyle örtüşüyor.

FlyingYeti tehdit aktörünün, 2024 yılının nisan ayının ortasından mayıs ayının ortasına kadar, kurbanlarına karşı Paskalya sırasında başlatılması planlanan bir kampanyada kullanılması muhtemel bir keşif faaliyeti yürüttüğü gözlemlendi.

Bu tehdit aktörü, altyapıları için dinamik DNS kullanıyor ve kötü amaçlı yazılımlarını ve C2 sunucularını barındırmak için bulut tabanlı platformlar kullanıyor.

FlyingYeti büyük olasılıkla öncelikle Ukrayna Askeri Kuruluşlarını hedef almaya odaklanan Rusya bağlantılı tehdit gruplarına atfediliyor.

Bu atıf, Rus dilinde yazılan kodlardaki yorumlar ve bu tehdit aktörünün çalışma saatlerinin UTC +3 Saat diliminde gerçekleşmesi (bu saat diliminde 3 Rus Yeri bulunmaktadır) nedeniyle spekülasyona yol açmıştır.

Kampanya Analizi

Nisan ayında gözlemlenen keşif faaliyeti, Ukrayna’daki toplu konut ve kamu hizmetlerine ilişkin ödeme süreçlerini hedef alıyordu.

22 Nisan 2024 tarihli ankette, 2016 yılında ödeme bildirimlerinde QR kodların kullanılmaya başlanmasıyla yapılan değişiklikler hedef alındı.

Aynı gün Ukrayna’da konut ve kamu hizmeti borçlarına ilişkin güncel gelişmelere ilişkin de keşif yapıldı.

25 Nisan 2024’te yapılan keşif faaliyeti, Ukrayna’daki konut borcunun yeniden yapılandırılmasının yasal dayanağı ile gaz ve elektrik gibi kamu hizmetlerini içeren borçla ilgiliydi.

Bu faaliyetler muhtemelen Ukraynalılara karşı daha yüksek başarı şansına sahip olan ödemeyle ilgili cazibelerden kaynaklanıyordu.

Kimlik Avı Kampanyası ve RAR Kötü Amaçlı Yazılım Analizi

Cloudflare’deki araştırmacılar, Paskalya için gerçekleştirilmek üzere olan kimlik avı kampanyasını sekteye uğrattı.

Kimlik avı kampanyası kodu analiz edildiğinde, tehdit aktörlerinin Kiev sakinleri için ödeme işlemcisi işlevi gören Kiev Komunalka ortak konut sitesinin sahte bir versiyonunu kullandıkları tespit edildi.

Hepsi Bir Arada Siber Güvenlik Platformu MSP’lerin tek bir araçla tam ihlal koruması sağlaması için Tam Demoyu İzleyin

Kiev Komunalka, kullanıcıların gaz, elektrik, telefon, internet, ücretler ve para gibi hizmetlerin yanı sıra Ukrayna savunma güçlerine bağış yapmalarına da olanak tanıyor.

Kimlik avı kampanyası, kimlik avı e-postası veya muhtemelen GitHub sayfa bağlantısını içeren şifreli bir sinyal mesajı yoluyla yürütülmek üzereydi.

Bu sayfa, mağdurlar tarafından ziyaret edildiğinde, kullanıcıları “Рахунок.docx” (“Invoice.docx”) adı altında ödeme faturası belgesini indirmeye yönlendirecek büyük yeşil bir düğme görüntüleyecektir.

Ancak başlangıçta düğme, “Konut ve kamu hizmetleri için borç.rar” adlı kötü amaçlı bir RAR arşivini indirecektir.

Bu RAR arşivi, dosya adı ile uzantı arasında boşluk olarak görünen “U+201F” Unicode karakterini içeren adı taşıyan bir dosya da dahil olmak üzere birden fazla dosya içerecektir.

Bu dosya aslında kötü amaçlı bir CMD dosyası olan bir PDF belgesi olarak görünür (“Ödeme Makbuzu.pdf[unicode character U+201F].cmd”).

Bu RAR, sıkıştırması açıldığında, WinRAR’ın CVE-2023-38831 güvenlik açığından yararlanacak olan kötü amaçlı PDF dosyasını çıkaracaktır.

Son olarak, bilgisayarda kalmaya devam edecek olan COOKBOX PowerShell kötü amaçlı yazılımı yürütülür ve tehdit aktörlerinin etkilenen cihaza kalıcı erişim elde etmesine olanak tanır.

Bu COOKBOX kötü amaçlı yazılımı yüklendiğinde, DDNS alan adı postdock’una isteklerde bulunacaktır.[.]Serveftp[.]C2 için com, kötü amaçlı yazılımın daha sonra çalıştıracağı PowerShell cmdlet’lerini bekliyor.

Ayrıca RAR arşivinde sahte belge görevi gören ek belgeler de mevcuttu. Bu belgeler Canary Tokens hizmetini kullanan gizli izleme bağlantılarını içerecektir.

Uzlaşma Göstergeleri

ANY.RUN Sandbox’tan özel teklifler alın. 31 Mayıs’a kadar 6 aylık ücretsiz hizmet veya ekstra lisans alın. Ücretsiz kaydol.