Magniber Ransomware JavaScript’i Windows Kullanıcılarına Saldırmak İçin Silahlandırıyor

   Ekim 14, 2022  Posted in GBHackers


Magniber Ransomware JavaScript'i Windows Kullanıcılarına Saldırmak İçin Silahlandırıyor

Son zamanlarda, HP’nin tehdit istihbarat ekibindeki güvenlik araştırmacıları, tehdit aktörlerinin Magniber fidye yazılımları dağıttığı ve Windows Home kullanıcılarını hedef alan sahte güvenlik güncellemelerinin yardımıyla kötü niyetli bir kampanya keşfettiler.

Eylül 2022’de tehdit aktörleri tarafından bir dizi sahte web sitesi oluşturuldu. Bu sahte web sitelerinde, tehdit aktörleri tarafından sahte antivirüs ve Windows 10 için güvenlik güncellemeleri tanıtıldı ve dağıtıldı.

JavaScript olarak indirilen dosya şifreleyen kötü amaçlı yazılımın dağıtımıyla karmaşık bir bulaşma zinciri başlar.

DÖRT

Magniber ransomware operatörleri, ev kullanıcılarının dosyalarını kurtarabilmek için bir şifre çözme aracı almak için kurbanlardan 2.500 dolara kadar bir ödeme talep etti.

Hedeflenen Sürümler

Bu zorlama, yalnızca şu anda indirilebilen Windows 10 ve Windows 11 yapılarına odaklanır. Aşağıda, Windows 10 ve Windows 11’in tüm hedeflenen sürümlerinden bahsettik: –

Sürüm Kodu İsim Yayın tarihi
17134 Windows 10, Sürüm 1803 30 Nisan 2018
17763 Windows 10, Sürüm 1809 13 Kasım 2018
18362 Windows 10, Sürüm 1903 21 Mayıs 2019
18363 Windows 10, Sürüm 1909 12 Kasım 2019
19041 Windows 10, Sürüm 2004 27 Mayıs 2020
19042 Windows 10, Sürüm 20H2 20 Ekim 2020
19043 Windows 10, Sürüm 21H1 18 Mayıs 2021
19044 Windows 10, Sürüm 21H2 16 Kasım 2021
20348 Windows Server 2022, Sürüm 21H2 18 Ağustos 2021
22000 Windows 11, Sürüm 21H2 4 Ekim 2021
22610 Windows 11 İçeriden Önizleme 29 Nisan 2022
22621 Windows 11, Sürüm 22H2 20 Eylül 2022
25115 Windows 11 İçeriden Önizleme 11 Mayıs 2022
25145 Windows 11 İçeriden Önizleme 22 Haziran 2022
25163 Windows 11 İçeriden Önizleme 20 Temmuz 2022

Enfeksiyon Zinciri

Tehdit aktörünün önceki kampanyalarında MSI ve EXE dosyalarını kullandığını belirtmek önemlidir. En son sürüm, aşağıdaki şekilde adlandırılan JavaScript dosyalarına dayanıyordu: –

  • SYSTEM.Critical.Upgrade.Win10.0.ba45bd8ee89b1.js
  • SYSTEM.Security.Database.Upgrade.Win10.0.jse
  • Antivirus_Upgrade_Cloud.29229c7696d2d84.jse
  • ALERT.System.Software.Upgrade.392fdad9ebab262cc97f832c40e6ad2c.js

Bu saldırıda kullanılan dosyalar gizlenir ve “DotNetToJScript” tekniğinin bir varyasyonunu kullanarak sistem belleğinde bir .NET dosyası yürütürler. Sonuç olarak, ana bilgisayarın anti-virüs ürünlerinin bu saldırıyı algılama olasılığı daha düşüktür.

.NET dosyası, kendi sürecini sonlandırmadan önce, kodunu çözdüğü kabuk kodunu, kendi sarmalayıcısını kullanarak gizli sistem çağrıları yapan yeni bir komut dosyasına enjekte eder.

Windows Kullanıcı Hesabı Denetimi özelliği için bir atlama kullanan Magniber, bu eylemi gerçekleştirmek için bu seçenekten yararlanabilir. Bunu gerçekleştirmek için, kullanıcının çalıştırılması gereken kabuk komutunu belirtmesine izin vermek için bir kayıt defteri anahtarı oluşturulmalıdır.

Ardından, bir sonraki adımda “fodhelper.exe” yardımcı programı gibi gölge kopyaları silmek için işlemin ilerleyen aşamalarında bir VBScript komut dosyası yürütülür.

Her şey yerine oturduğunda, Magniber fidye yazılımı dosyaları şifrelemeye başlar ve ardından fidye notunu ana bilgisayara bırakır. Ancak, Magniber’ın yalnızca belirli dosya türlerini şifrelediği bulunmuştur.

Öneri

Aşağıda tüm önerilerden bahsettik: –

  • Yönetici hesaplarını yalnızca ihtiyacınız olduğunda kullanın.
  • Yazılımınızı güncellemenin en güvenilir yolu, onu yetkili bir kaynaktan indirmektir.
  • Verilerinizi düzenli olarak yedeklediğinizden emin olun.

Ayrıca Okuyun: Fidye Yazılım Saldırı Müdahalesi ve Azaltma Kontrol Listesi



Source link