İsrail yüksek öğrenim ve teknoloji sektörleri, daha önce belgelenmemiş kötü amaçlı yazılımları dağıtmak amacıyla Ocak 2023’te başlayan bir dizi yıkıcı siber saldırının parçası olarak hedef alındı.
Ekim ayı gibi yakın bir tarihte gerçekleşen izinsiz girişler, Agrius, BlackShadow ve Pink Sandstorm (önceden Americium) olarak da bilinen, Agonizing Serpens adı altında takip ettiği İran ulus devleti hack ekibine atfedildi.
Palo Alto Networks Birim 42, The Hacker News ile paylaşılan yeni bir raporda, “Saldırılar, kişisel olarak tanımlanabilir bilgiler (PII) ve fikri mülkiyet gibi hassas verileri çalma girişimleriyle karakterize edilmektedir.” dedi.
“Saldırganlar bilgileri çaldıktan sonra, saldırganların izlerini kapatmak ve virüslü uç noktaları kullanılamaz hale getirmek amacıyla çeşitli silecekler kullandılar.”
Buna MultiLayer, PartialWasher ve BFG Agonizer gibi üç farklı yeni silicinin yanı sıra Sqlextractor olarak bilinen veritabanı sunucularından bilgi çıkarmaya yönelik özel bir araç da dahildir.
En azından Aralık 2020’den bu yana aktif olan Agonizing Serpens, İsrail varlıklarını hedef alan silici saldırılarla ilişkilendiriliyor. Mayıs ayının başlarında Check Point, tehdit aktörünün ülkeyi hedef alan saldırılarında Moneybird adlı bir fidye yazılımı türünü kullandığını ayrıntılarıyla anlatmıştı.
En son saldırı dizisi, web kabuklarını dağıtmak ve kurban ağlarının keşfini gerçekleştirmek ve yönetici ayrıcalıklarına sahip kullanıcıların kimlik bilgilerini çalmak için ilk erişim yolları olarak savunmasız internete yönelik web sunucularının silahlandırılmasını gerektiriyor.
Yanal bir hareket aşamasını, Sqlextractor, WinSCP ve PuTTY gibi genel ve özel araçların bir karışımını kullanarak veri sızdırma izler ve son olarak, silecek kötü amaçlı yazılımını sunar.
- Çok Katmanlıkurtarma çabalarına direnmek ve önyükleme sektörünü silerek sistemi kullanılamaz hale getirmek için dosyaları silinmek üzere sıralayan veya rastgele verilerle bozan bir .NET kötü amaçlı yazılımıdır.
- Kısmi Yıkayıcısürücüleri tarayan ve belirtilen klasörleri ve alt klasörlerini silen C++ tabanlı bir kötü amaçlı yazılım.
- BFG Acı Çekicibüyük ölçüde CRYLINE-v5.0 adlı açık kaynaklı bir projeye dayanan bir kötü amaçlı yazılım.
Agrius’a olan bağlantılar, grup tarafından daha önce kullanıldığı belirlenen Apostle, IPsec Helper ve Fantasy gibi diğer kötü amaçlı yazılım aileleriyle birden fazla kod çakışmasından kaynaklanıyor.
Birim 42 araştırmacıları, “Agonizing Serpens APT grubunun yakın zamanda yeteneklerini yükselttiği ve EDR ve diğer güvenlik önlemlerini atlatmak için büyük çaba ve kaynak yatırımı yaptığı görülüyor” dedi.
“Bunu yapmak için, bilinen farklı kavram kanıtını (PoC) ve sızma testi araçlarının yanı sıra özel araçları kullanmak arasında geçiş yapıyorlar.”