Zscaler ThreatLabz, SideWinder APT tehdit grubu tarafından Pakistan’daki varlıkları hedeflemek için kullanılan ‘WarHawk’ adlı yeni bir arka kapı buldu.
SideWinder grubu, Rattlesnake, Hardcore Milliyetçi, RAZOR TIGER, T-APT-04 ve APT-C-17 adlarıyla devam ediyor ve Asya’da, özellikle Pakistan’da hükümet, ordu ve işletmeleri hedef alma geçmişine sahip.
Zscaler ThreatLabz, “Yeni keşfedilen WarHawk arka kapısı, muzaffer bir kampanya sağlamak için KernelCallBackTable enjeksiyonu ve Pakistan Standart Saat dilimi kontrolü gibi yeni TTP’leri içeren Cobalt Strike sağlayan çeşitli kötü amaçlı modüller içeriyor” dedi.
WarHawk Backdoor’un Çalışması
Raporlar, ‘WarHawk’ arka kapısının aşağıdakiler gibi dört modülden oluştuğunu söylüyor:
- Modülü İndirin ve Çalıştırın
- Komut Yürütme Modülü
- Dosya Yöneticisi InfoExfil Modülü
- UploadFromC2 Modülü
Araştırmacılar, ISO dosyasının Pakistan Ulusal Elektrik Enerjisi Düzenleme Kurumu’nun meşru web sitesinde barındırıldığını keşfettiler.[.]kuruluş[.]pk”, web sunucularının bir güvenliğinin ihlal edildiğini gösterebilir.
Şüphelenmeyen kurbanları infaza çekmek için yasal bir uygulama olarak kendini gizler. Ayrıca, WarHawk bir dizi API ve DLL adının şifresini bir Dize Şifre Çözme Rutini kullanarak çözer ve bu, Şifrelenmiş Onaltılı Bayt’ı girdi olarak alır ve ardından dizenin şifresini çözmek için her bir baytı Anahtar: “0x42” ile çıkarır.
WarHawk Backdoor yasal uygulamalar olarak gizleniyor
İndirme ve yürütme modülü, CnC sunucusu tarafından sağlanan uzak URL’den ek yükleri indirmek ve yürütmekten sorumludur.
Komut yürütme modülü, Komuta ve Kontrol’den alınan virüslü makinede sistem komutlarının yürütülmesinden sorumludur. Daha sonra, Dosya Yöneticisi InfoExfil modülü, öncelikle bir Modül başlatma talebini CnC sunucusuna göndererek Dosya Yöneticisi bilgilerini toplar ve gönderir.
UploadFromC2 modülünde, en son WarHawk Backdoor’a eklenen yeni bir özelliktir ve tehdit aktörünün Komuta ve Kontrol Sunucusundan virüslü makineye dosya yüklemesine olanak tanır.
SideWinder Ağ Altyapısı
Araştırmacılar, kampanyanın Pakistan’ı hedef aldığını belirlemeye yardımcı olan göstergelerin, Pakistan Ulusal Elektrik Gücü Düzenleme Kurumu web sitesinde barındırılan ISO dosyalarının, Pakistan Kabine Bölümü tarafından bir tuzak olarak kullanılan tehdit aktörlerinin ve zaman dilimi kontrolünün aşağıdakiler olduğunu söylüyorlar. Kötü amaçlı yazılımın yalnızca Pakistan Standart Saati altında yürütülmesini sağlayan “Pakistan Standart Saati”.
Rapor, “SideWinder APT Grubu, hedeflerine karşı başarılı casusluk saldırı kampanyaları yürütmek için taktiklerini sürekli olarak geliştiriyor ve cephaneliğine yeni kötü amaçlı yazılımlar ekliyor.”