Storm-2603, uç nokta korumalarını atlamak için BYOVD kullanarak özel kötü amaçlı yazılımları dağıtıyor

Check Point Research (CPR), Microsoft SharePoint Server güvenlik açıklarının “araç kutusu” olarak bilinen yaygın olarak kullanılmasının ortasında, Çin’in ileri süren tehdit (APT) gruplarıyla bağlantılı yakın zamanda tanımlanmış bir tehdit aktörü olan Storm-2603’ün operasyonlarını araştırdı.

Bu kampanya dört kritik CVVE CVE-2025-49704, CVE-2025-49706, CVE-2025-53770 ve CVE-2025-53771’den, Storm-2603’ün, “AK47C2) çerçevesi olarak adlandırılan Storm-2603’ü kullanıyor.

HTTP tabanlı (“AK47HTTP”) ve DNS tabanlı (“AK47DNS”) istemcilerden oluşan bu çerçeve, kalıcı erişim ve komut yürütmeyi mümkün kılar.

Yeni bir Çin tehdit oyuncusu ortaya çıkarmak

Virustotal yüklemelerin analizi, 2025’in başlarında, Asya-Pasifik bölgesindeki saldırılarla eşzamanlı olarak Fırtına-2603 hedefli Latin Amerika organizasyonlarını, fidye yazılımı operasyonlarını (TTP’ler) kullanan, şebeke için PSEXEC gibi açık kaynak araçları da dahil olmak üzere, ağ taraması için maskeler ve prosedürler (TTP’ler) gösteriyor.

Yaklaşımlarının ayırt edici özelliği, genellikle DLL kaçırma yoluyla konuşlandırılan birden fazla fidye yazılımı ailesi ile eşleştirilmiş uç nokta korumalarını devre dışı bırakmak için kendi savunmasız sürücünüzü (BYOVD) getiren özel bir araçtır.

Storm-2603’ün AK47C2 Çerçevesi, C: \ Users \ Adminess \ Desktop \ Work \ Tools \ AK47C2 gibi PDB yollarıyla kanıtlanmıştır.

CPR raporuna göre, DNSClient.exe adlı 64 bit konsol uygulaması olan AK47DNS varyantı, piyasaya sürüldükten sonra penceresini gizler ve güncelleme üzerinden C2 iletişimi için DNS sorguları oluşturur.[.]com.

Fidye yazılımı taktikleri

Rastgele bir beş karakterli oturum kimliği, XOR-CHRYPTS yükleri “VHBD@H” anahtarıyla oluşturur ve veri açığa çıkması için DNS TXT veya MG kayıtlarını kullanır, büyük çıkışları stealth için 63 bayt segmentlere parçalayın.

Benzer şekilde, AK47HTP Backdoor, CMD.EXE aracılığıyla komutları yürüterek ve Update.micfosoft gibi alanlara sonuçları aktararak JSON yükleri aynı şekilde şifrelenmiş HTTP Post istekleri kullanır.[.]com.

Nisan 2025’ten itibaren Virustotal üzerindeki RAR arşivleri de dahil olmak üzere olaylar, trafik yakalama için WinPCAP, keşif için Sharphostinfo ve güvenlik açığı sömürüsü için NXC gibi açık kaynaklı kamu hizmetlerini içeren dağıtımları ortaya koymaktadır.

Lockbit Black ve Warlock (.x2anylock uzantıları kullanılarak) gibi fidye yazılımı yükleri, 7z.exe veya mpcmdrun.exe gibi meşru dosyalarda DLL kaçırma işlemini kötüye kullanan MSI yükleyicileri aracılığıyla paketlenir ve tetiklenir.

2024’ün sonlarından bu yana aktif olan özel bir “antivirüs terminatörü” aracı, işlem sonlandırma için 0x99000050 gibi IOCTL kodlarını, byovd üzerinden etkin bir şekilde atlayarak 0x99000050 gibi IOCTL kodlarını göndermek için ServiceMouse adlı bir hizmet oluşturur.

Tox veya Protonmail aracılığıyla talep eden temas, Huntress ve Microsoft’un raporlarında gözlemlenen nadir taktiklerle uyumlu olan bu çok ransom yazılım stratejisi, Tox veya Protonmail üzerinden, Storm-2603’ü Mart 2025’ten bu yana daha önceki kampanyalara bağlayan nadir taktiklerle hizalanır.

Storm-2603, uygun teknikleri emtia aletleriyle harmanlayan gelişen fidye yazılımına bağlı bir aktör temsil eder, başlangıç erişim için SharePoint kusurlarından yararlanır ve kalıcılık için özel kötü amaçlı yazılımlardır.

Microsoft raporlarından IOC’leri ilişkilendirerek, CPR izlemiş altyapı örtüşüyor ve grubun bozulmayı en üst düzeye çıkarmak için hızlı, çok ücretli yük dağıtımlarına odaklanmasını vurguluyor.

Uzlaşma Göstergeleri (IOCS)

Find this News Interesting! Follow us on Google News, LinkedIn, and X to Get Instant Updates!