Kullanıcılara Saldırmak İçin Metin Dizileriyle Zincirlenmiş USB Kötü Amaçlı Yazılım

Çeşitli araç ve taktiklerin gelişmesine rağmen, tehdit aktörleri kurbanlara kötü niyetli amaçlarla saldırmak için hâlâ geleneksel yaklaşımı tercih ediyor. Bu tür tehdit aktörlerinden biri, kurbanları istismar etmek için USB cihazlarını kullanan UNC4990’dır. UNC4990, finansal motivasyona sahip bir tehdit aktörüdür ve 2020’den bu yana kampanyalar yürütmektedir.

Bu tehdit aktörünün faaliyetlerinde sürekli bir gelişme yaşandı. Bununla birlikte son zamanlardaki taktikler GitHub, GitLab, Ars Technica ve Vimeo gibi popüler ve meşru web sitelerinin kullanımını içeriyordu.

Ayrıca tehdit aktörü EMPTYSPACE indiricisini ve QUIETBOARD arka kapısını kullanıyor. EMPTYSPACE, komuta ve kontrol sunucularından sunulan herhangi bir veri yükünü yürütme kapasitesine sahiptir ve QUIETBOARD ayrıca EMPTYSPACE kullanılarak sunulur.

Metin Dizeleriyle Zincirlenmiş USB Kötü Amaçlı Yazılım

İlk Vektör

Cyber ​​Security News ile paylaşılan raporlara göre tehdit aktörü, USB sürücüleri her türlü sosyal mühendislik yoluyla kurbanlara teslim ederek enfeksiyon zincirini başlatıyor. Kurban USB’yi cihazına bağladığında USB çıkarılabilir cihaz, satıcı adının altında bir kısayolla (.LNK uzantılı) gösterilir.

Kurbanlar bu zararlı LNK kısayol dosyasını açtığında aşağıdaki komutu içeren bir PowerShell betiğini (explorer.ps1) çalıştırıyor.

“C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.exe -windowstyle gizlendi -NoProfile -nologo -ExecutionPolicy ByPass -File explorer.ps1”

Explorer.ps1, belirli koşulları kontrol eden ve EMPTY SPACE indiricisi olan Runtime Broker.exe dosyasını getiren kodlanmış bir PowerShell betiğidir.

Zaman çizelgesi

Tehdit aktörü, 2023’ün başından itibaren GitHub’un yerini video paylaşım sitesi Vimeo’yla değiştirdi. Açıklamanın sabit kodlanmış yükün bulunduğu Vimeo’ya bir video eklendi. Ancak bu video artık kaldırıldı. Ayrıca Vimeo URL’si de explorer.ps1 komut dosyasının içine yerleştirildi.

Aralık 2023’ün ortasında, tehdit aktörünün Ars Technica’yı, yüke gömülü bir görüntü kullanarak kullandığı keşfedildi. Tehdit aktörü, yedek olarak ek bir dize içeren EMPTY SPACE hizmet URL’sini de güncellemiştir.

Ayrıca tehdit aktörü tarafından kullanılan EMPTYSPACE yükleyicisinin QUIETBOARD’un yanı sıra Node JS sürümü, .NET sürümü ve Python sürümü gibi çeşitli sürümleri de mevcut.

Bu Python tabanlı arka kapı, rastgele kod, kripto para hırsızlığı, USB sürücü enfeksiyonu, ekran görüntüsü alma, bilgi toplama ve C2 iletişimlerini yürütebilir.

Uzlaşma Göstergeleri

Ana bilgisayar tabanlı IOC’ler

Ağ Tabanlı IOC’ler

URL’si

• hxxps://bobsmith.apiworld[.]cf/lisans.php
• hxxps://arstechnica[.]com/civis/members/frncbf22.1062014/about/
• hxxps://evinfeoptasw.dedyn[.]io/updater.php
• hxxps://wjecpujpanmwm[.]tk/updater.php?from=USB1
• hxxps://eldi8.github[.]io/src.txt
• hxxps://evh001.gitlab[.]io/src.txt
• hxxps://vimeo[.]com/api/v2/video/804838895.json
• hxxps[://]anıtsal[.]ga/wp-admin[.]php
• hxxp[://]stüdyofotografico35mm[.]altervista[.]kuruluş/güncelleyici[.]php
• hxxp[://]ncnskjhrbefwifjhww[.]tk/güncelleyici[.]php
• hxxp[://]geraldonsbutik[.]altervista[.]kuruluş/güncelleyici[.]php
• hxxps[://]wjecpujpanmwm[.]tk/güncelleyici[.]php
• hxxps[://]captcha[.]grup yardımı[.]üst/güncelleyici[.]php
• hxxps[://]captcha[.]tgbot[.]o/güncelleyici[.]php
• hxxps://luke.compeyson.eu[.]org/runservice/api/public.php
• hxxps[://]Luke[.]compeyson[.]AB[.]org/wp-admin[.]php
• hxxps://luke.compeyson.eu[.]org/runservice/api/public_result.php
• hxxps://eu1.microtunnel[.]it/c0s1ta/index.php
• hxxps[://]Davebearblog[.]AB[.]org/wp-admin[.]php
• hxxps://lucaespo.altervista[.]org/updater.php
• hxxps://lucaesposito.herokuapp[.]com/c0s1ta/index.php
• hxxps://euserv3.herokuapp[.]com/c0s1ta/index.php