Pikabot Kampanyası HTML, Javascript ve Excel Dosyalarını Silahlandırıyor

Dünya çapındaki sistemlere sızma konusunda gelişmiş bir yaklaşıma sahip yeni bir oyuncu ortaya çıktı.

Pikabot olarak adlandırılan bu kötü niyetli arka kapı 2023'ün başlarından beri aktif, ancak son zamanlardaki faaliyetler onun uyarlanabilirliğini ve dağıtım yöntemlerinin giderek daha karmaşık hale geldiğini ortaya koydu.

McAfee Labs'ın en son bulguları, Pikabot'un güvenlik savunmalarını aşmak için HTML, Javascript ve Excel dahil olmak üzere çeşitli dosya türlerinden nasıl yararlandığını ortaya koyuyor ve daha fazla dikkat ve gelişmiş tespit mekanizmalarına olan ihtiyacın altını çiziyor.

Pikabot'un İşleyiş Moduna Yakından Bir Bakış

Pikabot, bir yükleyici ve bir temel bileşenden oluşan modüler tasarımıyla öne çıkıyor.

Çekirdek modül, komutları yürütür ve bir komut ve kontrol (C2) sunucusundan gelen yükleri enjekte ederken, bir kod enjektörü, çekirdek modülün şifresini çözer ve meşru süreçlere enjekte eder.

Kötü şöhretli Qakbot kötü amaçlı yazılımını hatırlatan bu gizli yaklaşım, Pikabot'un radar altında çalışmasına olanak tanıyarak tespit ve önlemeyi zorlu bir hale getiriyor.

Pikabot'un stratejisinin ayırt edici özelliklerinden biri, QBot ve DarkGate gibi diğer kötü amaçlı yükleyicilerle paylaştığı bir yöntem olan e-posta spam kampanyalarına güvenmesidir.

Bu kampanyalar, belirli kurbanları cezbetmek için coğrafi olarak hedeflenen spam e-postalarla titizlikle hazırlanmıştır.

E-postalar genellikle kötü amaçlı zip dosyalarını barındıran ve kötü amaçlı yazılımı dağıtmak için SMB protokolünü kullanan harici Sunucu İleti Bloğu (SMB) paylaşımlarına bağlantılar içerir.

Fark Yaratan Kampanyalar

Şubat 2024, Pikabot'un dağıtım taktiklerinde önemli bir değişikliğe işaret etti.

McAfee Labs, kötü amaçlı yazılımın, her biri farklı güvenlik açıklarından yararlanma ve tespitten kaçma potansiyeli nedeniyle seçilen çeşitli dosya türleri aracılığıyla yayıldığını gözlemledi.

Bu çok yönlü yaklaşım, yalnızca başarılı enfeksiyon olasılığını artırmakla kalmıyor, aynı zamanda saldırganların uyum sağlama yeteneğini ve kullanıcıların ortak dosya türlerine olan güvenini kötüye kullanma niyetini de gösteriyor.

HTML Kampanyası

Bir kampanyada Pikabot, HTML dosyası içeren bir zip dosyası aracılığıyla dağıtıldı ve bu dosya daha sonra yükü dağıtmak için bir metin dosyası indirdi.

Yeniden yönlendirme için meta etiket yenilemesinin kullanılması, saldırganların gizlilik ve kaçırma tercihlerini vurgulayarak güvenlik önlemlerini atlamak için istemci tarafında yürütmeden yararlanır.

Javascript Kampanyası

Başka bir kampanyada Pikabot'un .js dosyası içeren sıkıştırılmış bir zip dosyası aracılığıyla dağıtıldığı görüldü.

Bu dosya, yükü geri almak için curl.exe'nin yürütülmesini başlattı ve kötü amaçlı yazılımın, hedeflerine ulaşmak için sistem süreçlerini manipüle etme yeteneğini sergiledi.

Excel Kampanyası

Yeni bir dağıtım yöntemi, sözde “buluttaki dosyalara” erişmek için kullanıcıları gömülü bir düğmeye tıklamaya yönlendiren bir Excel elektronik tablosunu içeriyordu.

Bu yöntem, kötü amaçlı yazılımın yayılmasını kolaylaştırmak için kullanıcıların Excel ve bulut hizmetlerine olan aşinalığından yararlandı.

Pikabot Yük Analizi

Yük analizi Pikabot'un karmaşıklığını ortaya koyuyor. Yüksek entropili bir yükleyici, tespit edilmekten kaçınmak için paketleme tekniklerinin kullanıldığını gösterir.

Çekirdek modülün ctfmon.exe'ye eklenmesi ve çifte bulaşmayı önlemek için sabit kodlu bir muteks kullanılması, kötü amaçlı yazılımın karmaşık tasarımının bir örneğidir.

Pikabot'un ortaya çıkışı ve gelişen dağıtım yöntemleri, siber tehditlerle mücadelede gelişmiş tespit ve önleme stratejilerinin önemini vurguluyor.

Kuruluşlar ve bireyler dikkatli kalmalı, kapsamlı güvenlik önlemleri almalı ve en son kötü amaçlı yazılım trendleri hakkında bilgi sahibi olmalıdır.

Siber güvenlik ortamı gelişmeye devam ettikçe, Pikabot'un arkasındakiler gibi kötü niyetli aktörlere karşı verilen mücadele, dünya çapındaki güvenlik profesyonelleri arasında sürekli adaptasyon ve işbirliği gerektirecektir.

IOC'ler:

Siber Güvenlik haberleri, Teknik İncelemeler ve İnfografiklerden haberdar olun. Bizi LinkedIn'de takip edin & heyecan.