Kötü amaçlı yazılım kampanyalarında kullanılan polyglot dosya hilesi tarafından yenilen e -posta filtreleri

Saldırganlar, e -posta filtrelerini aşmak ve sürekli değişen siber tehdit dünyasında kimlik avı yüklerini başarıyla göndermek için gelişmiş gizleme tekniklerini, bu tür çok dilli dosyaları kullanıyorlar.

Aynı anda birden çok dosya formatı olarak yorumlanabilen bu çok dilli dosyalar, güvenlik tarayıcılarına iyi huylu görünerek kötü amaçlı içeriğin algılamadan kaçmasına izin verir.

Bu değişim, rakipler gizli ve yürütme verimlilikleri için Windows kısayolu (LNK) dosyaları gibi alternatif formatları tercih ederek geleneksel kötü niyetli belge dağıtımından bir ayrılış yapar.

Aynı zamanda, hacktivist gruplar ideolojik kampanyalardan casusluk ve finansal sömürü de dahil olmak üzere daha geleneksel yasadışı arayışlara doğru ilerlemekte ve operasyonel sofistike olmalarını sağlamak için ileri araçları ve metodolojileri entegre etmektedir.

Kimlik avında gelişen taktikler

Yakın tarihli bir kampanya, rakiplerin kimlik avı mesajlarını yaymak için tehlikeye atılmış organizasyonel e -posta adreslerinden yararlandığı bu taktikleri örneklendiriyor.

Böylece e-postalar, “06.26.2025 tarihli 391-44 tarihli TTRA TTRA No. 391-44” (26 Haziran 2025 tarihli 391-44) ve “Antlaşma RN83-371” (sözleşme ph83-371) gibi legitemate iş belgelerini taklit eden konu satırlarını içeriyordu.

PE32+ Dinamik Bağlantı Kütüphaneleri (DLL’ler) olarak ikiye katlanan .ZIP Polyglot dosyaları eklenmiştir.

Bu Polyglots, bir tuzak belgesini ve bir LNK dosyası içeren gömülü bir fermuar arşivini gizledi.

Yürütme üzerine, LNK dosyası önce geçerli dizinde çok dilli dosyayı bulmak için bir dizi başlatır, daha sonra % UserProfile % ve % Temp % dizinlerinde tekrarlayan.

Daha sonra, dışa aktarılan giriş noktası işlevini hedefleyen Rundll32.exe aracılığıyla çok dilli çağırır.

Daha sonra, spesifik bayt ofsetlerini okuyarak (örneğin, 1.107.968 bayt atlayarak ve sonraki 3.280.549 bayt alarak) bir tuzak dosyası çıkarır ve meşruiyet yanılsamasını korumak için CMD /C Start kullanılarak açmadan önce %sıcaklık %tasarruf eder.

Bir örnek LNK dosyasından, “договор_рн83_37_изенения gibi bir örnek komutu.

Phantomremote arka kapı

Bu kötü amaçlı yazılım sunumunun merkezinde, C ++ ‘da geliştirilen ve kötü niyetli mantığını DLLMain işlevine yerleştiren bir PE32+ DLL olan Phantomremote Backdoor bulunur.

Giriş noktası dışa aktarma, küresel bir değişken üzerinde bir kontrol içerir; 1 olarak ayarlanırsa, potansiyel olarak kaçınan analiz için 5 saniyelik uyku () çağrıları ile sonsuz bir döngü girer.

Phantomremote System Intelligence’ı toplayarak başlar: CocreatEguid () (başarısızlıkta “bilinmeyen” i temeli) aracılığıyla bir GUID oluşturur, GetComputernameW () kullanarak bilgisayar adını alır ve GetComputernameExw (ComputerNamedNSomain) aracılığıyla alan adını alır.

İndirilen dosyaları depolamak için örnekler arasında “Yandaxcloud” veya “MicrosoftAppStore” adlı %ProgramData’da bir çalışma dizini oluşturur.

Komut ve Kontrol (C2) sunucusu ile iletişim, HTTP üzerinden gerçekleşir ve “91.239.148 gibi URL’lere bir GET isteği ile başlar.[.]21/anket? İd = & hostname = & domain = ”, toplanan verileri“ Yandexcloud/1.0 ”veya“ MicrosoftAppStore/2001.0 ”gibi kullanıcı ajanı başlıkları altında aktararak.

Arka kapı işlemleri “CMD:|”CMD.EXE aracılığıyla kabuk komutlarını yürütmek için (STDOUT ve STDERR’den borulanan çıkışla, bazen /U ve CHCP 65001 üzerinden UNICODE kodlama kullanarak) veya“ İndirin:|”Winhttp.dll işlevlerini kullanarak dosyaları almak ve bunları çalışma dizinine kaydetmek için.

Yetkilendirme sonrası, yanıtlar yazı yoluyla “/sonuç” uç noktalarına gönderilir, başarı veya başarısızlık detaylandırılır (örneğin, “Başarılı İndir: %ProgramData %\ Yandexcloud” veya “İndirme Başarısız”).

Döngüler arasında, kötü amaçlı yazılım başarıda 10 saniye veya başarısızlıkta 1 saniye uyur, kalıcılığı ve düşük görünürlüğü korur.

Rapora göre, bu arka kapının modüler tasarımı, C2’den ek yürütülebilir ürünlerin yüklenmesini, veri açığa çıkması veya yanal hareket gibi tehditleri yükseltmesini sağlar.

Bu kampanyalar, çok dilli anomalilere karşı artan e-posta ağ geçidi korumalarına ve LNK ile indüklenen yürütmeler için davranışsal analiz ihtiyacının altını çizmektedir.

Güvenlik ekipleri, belirli kullanıcı ajanları ile Rundll32 ve HTTP trafiği üzerinden anormal DLL yüklerini izlemelidir.

Uzlaşma Göstergeleri (IOCS)

Günlük Siber Güvenlik Haberleri’nde güncel olun. Bizi takip edin Google News, LinkedIn ve X’te.