Kuzey Kore, JPEG dosyalarında kötü amaçlı yazılımları saklıyor Windows sistemlerine saldırmak için tespitleri atlayarak

YERLER Güvenlik Merkezi’ndeki güvenlik araştırmacıları, görünüşte zararsız JPEG görüntü dosyaları içinde kötü niyetli yükleri gizlemek için steganografiyi kullanan Kuzey Koreli bağlantılı APT37 tehdit grubuna atfedilen Rokrat kötü amaçlı yazılımlarının sofistike yeni bir varyantını ortaya çıkardılar.

Bu teknik, kötü amaçlı yazılımın, şifreli kabuk kodunu görüntü verilerine yerleştirerek geleneksel antivirüs tespitlerinden kaçmasına izin verir, bu da daha sonra kod çözülür ve bellekte yürütülür.

Öncelikle, “ulusal istihbarat ve karşı istihbarat el yazması” gibi maskelenen zip arşivlerinde gizlenen kötü amaçlı kısayol (.lnk) dosyaları aracılığıyla dağıtılır, saldırı zinciri büyük boy LNK dosyaları ile başlar, genellikle gömülü tuzak belgeleri ve showshels gibi kodlanmış bileşenler nedeniyle 50MB’yi aşan, shellcod (Powershels) gibi başlar. (ttf02.dat) ve toplu dosyalar (ttf03.bat).

Apt37’nin gelişen Rokrat varyantı

Yürütme üzerine, toplu komut dosyası PowerShell’i tek baytlı bir anahtar (0x33) kullanarak bir XOR şifresini gerçekleştirmeye çağırır ve meşru Windows işlemlerine daha fazla yük enjekte eden 32 bit bir kabuk kodu bloğu ortaya çıkarır.

Bu iki aşamalı şifreli kabuk kodu enjeksiyon yöntemi ters mühendisliği engeller, çünkü ofset 0x590’daki ilk XOR işlemi 0xae gibi bir anahtar kullanır ve verileri “d: \ work \ util \ enjectshellcode \ enjectshellcode.pdb” gibi PDB yollarına atıfta bulunan bir yürütülebilir dosyaya dönüştürür.

Kötü amaçlı yazılım daha sonra Mspaint.exe veya Notepad.exe gibi işlemlerde sanal belleği SYSWOW64 dizininden ayırır, şifre çözülmüş veri blokları (örn. 892.928 bayt) yazar ve çekirdek rokrat modülünü çözmek için 0xd6 gibi tuşlarla ek xor rutinleri uygular.

Bu sözlü olmayan yaklaşım, kötü amaçlı yazılım zaman damgası (örn. 2025-04-21 00:39:59 UTC) ve “–wwjaughalvncjwiajs-” gibi benzersiz dizeler, Appt37’nin Arsenal ile olan bağlarını onaylarken minimal disk ayak izleri sağlar.

Bulut tabanlı C2 kanalları

Dikkate değer bir evrimde, APT37, mpr.dll veya credui.dll gibi kötü niyetli DLL’lerin (örneğin, hwp belgelerine yerleştirilmiş Morgr.dll veya credui.dll gibi kötü niyetli DLL’lerin (ör.

“MyImageFile” adlı JPEG kaynağı, geçerli bir EXIF başlığı ile başlar, ancak 0xAA anahtarlı bir XOR’dan sonra 0x4201’i ofsette kabuk kodunu gizler, ardından Rokrat yükünü çıkarmak için 0x29 kullanılarak ikincil bir XOR. Bu, son nokta korumalarını atlayarak sorunsuz bellek içi yürütülmesini sağlar.

İşlevsel olarak, Rokrat sistem bilgilerini, belgeleri ve ekran görüntülerini toplar, bunları api.pcloud.com, cloud-api.yandex.net ve api.dropBoxapi.com gibi istismar edilmiş bulut API’leri aracılığıyla dışarı atar, “HfkfeN8jiAAAAAAAAAZR14ZUTJMQZOX-G5K9SV9VY7PHB9QINCIEO7SAP1CH.”

C2 Hesapları, “[email protected]” ve “[email protected]” gibi e -postalarla bağlantılı, Rus e -posta hizmetlerinin ve potansiyel LinkedIn bağlarının kalıplarını ortaya çıkarır.

Temmuz 2025’teki varyantlar, “Güney Kore’de Kuzey Koreli defektörlerin başarılı bir şekilde yeniden yerleşimi için akademi operasyonu” olarak gizlenmiş gibi, Notepad.exe enjeksiyonuna geçiş ve “D: \ Work \ Silah” altındaki PDB yollarına geçiş.

Rapora göre, bu tehditlere karşı koymak için, süreç enjeksiyonları, komut dosyası yürütmeleri ve giden bulut bağlantıları gibi anormal davranışların gerçek zamanlı izlenmesini sunan etkili uç nokta tespiti ve yanıt (EDR) çözümleri kritiktir.

EDR görselleştirme, LNK yürütmesinden C2 eksfiltrasyonuna kadar saldırı akışlarına yardımcı olur ve Hızlı İzolasyon ve MITER ATT & CK çerçeveleri altında tehdit sınıflandırmasını sağlar.

Rokrat, belgesiz taktikler ve steganografi yoluyla imza temelli savunmalardan kaçınmaya devam ettikçe, kuruluşlar proaktif avcılık için EDR’ye öncelik vermeli ve Güney Kore ve ötesindeki pencerelerde Windows ekosistemlerini hedefleyen devlet destekli Kuzey Kore siber operasyonlarının artan karmaşıklığını vurgulamalıdır.

Uzlaşma Göstergeleri (IOC)

Find this News Interesting! Follow us on Google News, LinkedIn, and X to Get Instant Updates!