PureHVNC RAT Silahlı Adli Belgeler Aracılığıyla Dağıtılıyor

Kampanya, daha sonra PureHVNC uzaktan erişim trojanını (RAT) dağıtan Hijackloader kötü amaçlı yazılımını dağıtmak için adli belge temalarından yararlanıyor; bu, bu kombinasyonun Latin Amerika’da İspanyolca konuşan kullanıcılara karşı kullanıldığı gözlemlenen ilk örnektir.

Kampanya, bölgede faaliyet gösteren tehdit aktörleri için önemli bir taktik değişimi temsil ediyor. Daha önce RemcosRAT dağıtımıyla CrowdStrike müşterilerini hedef alan kampanyalarda belgelenen Hijackloader, artık yer altı forumlarında ve Telegram kanallarında aktif olarak satılan bir hizmet olarak kötü amaçlı yazılım aracı olan PureHVNC’yi dağıtmak üzere yeniden tasarlandı.

Ağustos ve Ekim 2025 arasında IBM X-Force, Kolombiyalı kullanıcıları ülkenin Başsavcılığını taklit eden e-postalar aracılığıyla hedefleyen karmaşık bir kampanya tespit etti.

Ağustos ve Ekim 2025 arasında IBM X-Force, yerleşik saldırı altyapısının yeni ortaya çıkan yük dağıtımıyla bu yakınsaması, LATAM kuruluşlarının karşı karşıya olduğu gelişen tehdit ortamını gösteriyor.

Tehdit aktörleri, sahte bir şekilde Kolombiya Başsavcılığı’ndan geldiğini iddia eden ikna edici e-postalar hazırladı ve alıcıları, davaların eski çalışanlar tarafından açıldığını ve iş mahkemelerinde görüşülmeyi beklediğini bildirdi.

E-postalar, Google Drive’da açılmak üzere tasarlanmış SVG dosya eklerini içeriyor ve kurbanlara meşruiyet duygusu verirken, yükün kötü niyetli doğasını gizliyor.

Kurbanlar belge önizlemesine tıkladıklarında veya dosyayı Google Drive üzerinden indirmeye çalıştıklarında, şifre korumalı bir yürütülebilir dosya da dahil olmak üzere birden fazla dosya içeren bir ZIP arşivi alıyorlar.

Şifre, indirme tamamlama sayfasında belirgin bir şekilde görüntülenerek kurbanları kötü amaçlı ikili dosyayı çıkarmaya ve çalıştırmaya teşvik ediyor.

Bu sosyal mühendislik yaklaşımı, adli süreçlere ve resmi iletişimlere duyulan güveni istismar eder; psikolojik taktikler, özellikle yasal yazışmaların anında dikkat ve itaat gerektirdiği yüksek bağlamlı kültürlerde etkilidir.

Çok Aşamalı Enfeksiyon Zinciri

Enfeksiyon zinciri, Windows kitaplığı yükleme mekanizmalarını kötüye kullanan bir teknik olan DLL yandan yüklemeyle başlar. Hijackloader, meşru bir javaw.exe dosyasını yargı temalı bir adla (“02 ​​BOLETA FISCAL.exe”) yeniden adlandırır ve aynı dizine kötü amaçlı bir JLI.dll yerleştirir.

Yeniden adlandırılan yürütülebilir dosya başlatıldığında, Windows, değiştirilen DLL dosyasını sistem yolu yerine yerel dizinden yükler ve kötü amaçlı yazılımların yürütülmesi için ilk dayanağı oluşturur.

Sonraki aşamalar karmaşık yükleyici işlevselliğini içerir. Kötü amaçlı yazılım, geçici dosyalarda saklanan şifrelenmiş yapılandırmaların şifresini çözer, sanal makine tespiti ve hata ayıklayıcı tanımlama dahil olmak üzere analiz karşıtı kontroller gerçekleştirir ve PureHVNC’yi meşru sistem süreçlerine yüklemek için kod enjeksiyon tekniklerini uygular.

Kötü amaçlı yazılım, API çağrısı kökenlerini maskelemek için yığın sahtekarlığı, antivirüs yazılımı tarafından yüklenen güvenlik izleme kancalarının kaldırılması ve analitik ortamları tespit etmek için talimat gecikmesini ölçen zamanlama tabanlı hata ayıklama önleme mekanizmaları dahil olmak üzere birden fazla kaçırma stratejisi kullanıyor.

Kabuk kodu daha sonra kötü amaçlı yazılımın yapılandırmasında belirtilen DLL olan vssapi.dll dosyasına yüklenir.

Hijackloader’ın modüler mimarisi, yapılandırma bayrakları aracılığıyla özelleştirilebilir davranışlara olanak tanır. Kötü amaçlı yazılım, zamanlanmış görev oluşturma ve başlangıç ​​klasörü kısayolları da dahil olmak üzere birden fazla kalıcılık mekanizmasını destekleyerek sistem yeniden başlatmalarında sürekli erişim sağlar.

Sanallaştırma karşıtı rutinleri, fiziksel belleği, işlemci sayılarını ve hiper yönetici imzalarını sorgulayarak sanal alan ortamlarını algılar ve yetersiz kaynaklar bir analiz ortamı önerirse otomatik olarak sonlandırılır.

Kötü amaçlı yazılım, hem yasal ayrıcalık yükseltme yöntemleri hem de COM arayüzünden yararlanma yoluyla UAC atlama yeteneklerini bir araya getirerek, standart kullanıcı izinleriyle çalışırken yanal harekete ve ayrıcalık yükseltmeye olanak tanıyor.

Enjeksiyon yöntemleri, yapılandırma parametrelerine, destekleyici süreç boşluğuna, iş parçacığı bağlamının ele geçirilmesine ve bellek tabanlı algılama sistemlerinden kaçarken yükleri yürütmek için NTFS ile işlem yapılan dosya tekniklerine göre değişir.

Tehdit Ortamını Genişletmek

X-Force’un analizi, tehdit aktörlerinin LATAM bölgelerini hedeflemek için yerleşik dağıtım mekanizmalarını yeni ortaya çıkan yük taşıma araç kitleriyle giderek daha fazla birleştirdiğini gösteriyor.

Genellikle siber suç hizmetleriyle ilişkilendirilen ticari olarak temin edilebilen bir RAT olan PureHVNC’nin kullanımı, ya daha erişilebilir hizmet olarak kötü amaçlı yazılım tekliflerine doğru bir geçişi ya da yerleşik Hijackloader operatörleri ile RAT dağıtım hizmetleri sunan suç kuruluşları arasındaki işbirliğini önerir.

Kolombiya’daki ve Latin Amerika’daki kuruluşlar gelişmiş e-posta filtrelemeyi uygulamalı, bulut depolama hizmetlerinde SVG önizleme işlevini devre dışı bırakmalı ve DLL yan yükleme ve süreç ekleme tekniklerini tespit edebilen davranışsal analiz araçlarını dağıtmalıdır.

Resmi iletişimlerin kaynak kuruluşlarla doğrudan temas yoluyla doğrulanmasını vurgulayan kullanıcı farkındalığı eğitimi, adli ve resmi makamları hedef alan sosyal mühendislik saldırılarının azaltılması açısından kritik olmaya devam ediyor.

Uzlaşma göstergeleri

Anında Güncellemeler Almak ve GBH’yi Google’da Tercih Edilen Kaynak Olarak Ayarlamak için bizi Google Haberler, LinkedIn ve X’te takip edin.