SugarGh0st RAT Saldırı Organizasyonları ve Yapay Zeka Araştırmalarındaki Bireyler

Siber güvenlik şirketi Proofpoint, SugarGh0st Uzaktan Erişim Truva Atı’nı (RAT) kullanarak ABD’deki yapay zeka araştırma kuruluşlarının peşine düşen yeni bir operasyon buldu.

UNK_SweetSpecter olarak bilinen bir tehdit kümesiyle bağlantılı olan operasyon, işletmelerin, üniversitelerin ve devlet kurumlarının peşine düştü.

Saldırı Yöntemi: AI temalı yem içeren e-postalar

UNK_SweetSpecter’ın Mayıs 2024’teki kampanyası, kurban olabilecek kişilere yapay zeka temalı tuzaklar içeren e-postalar göndermek için ücretsiz bir e-posta hesabı kullandı. Bu e-postalarda insanların açmasını sağlayacak bir zip arşiv dosyası vardı.

Zip dosyası, başlatıldığı anda JavaScript damlalığı kullanan bir LNK kısayol dosyasını düşürdü.

ANYRUN malware sandbox’s 8th Birthday Special Offer: Grab 6 Months of Free Service

Bu damlalık daha sonra SugarGh0st RAT koduna yerleştirilir.

Saldırı zinciri, Cisco Talos’un daha önce bildirdiği bir yönteme çok benziyordu.

Sahte bir belge, dışarıdan yükleme için bir ActiveX aracı ve base64 şifreli bir ikili dosya içeriyordu.

JavaScript damlatıcısı, daha sonra JavaScript’in çok aşamalı bir kabuk kodu çalıştırmasına izin veren bir kitaplığa yerleştirildi; bu, SugarGh0st yükünü serbest bırakan şeydi.

Bu veri, veri sızdırma, komuta ve kontrol (C2) kalp atışı protokolü ve tuş kaydetme amaçlıydı.

Ağların Analizi ve İlişkilendirme

Proofpoint’in ağ üzerinde yaptığı çalışma, UNK_SweetSpecter’ın C2 iletişimlerini hesaplar gibi yeni alanlara taşıdığını gösterdi. gommask[.]Daha önce rapor edilmiş alan adlarıyla barındırmayı paylaşan çevrimiçi.

Görünüşe göre AS142032 bu faaliyetlerin altyapısının bulunduğu yer.

Cisco Talos’un SugarGh0st RAT’a ilk bakışı, bunun Çince konuşan tehdit aktörleri tarafından kullanıldığını öne sürdü.

Proofpoint’in daha önceki UNK_SweetSpecter kampanyaları üzerine yaptığı çalışma, dildeki bu hataları kanıtladı.

Proofpoint, kampanyaların belirli bir eyalet hedefine yönlendirildiğinden emin değil.

Yine de çok spesifik olmaları ve yapay zeka uzmanlarına odaklanmış olmaları, hükümetin üretken yapay zeka hakkında özel bilgiler almaya çalışmış olabileceğini gösteriyor.

Yakın tarihli bir Reuters haberinde, ABD hükümetinin Çin’in üretken yapay zekayı kullanmasını engelleme çabalarını hızlandırdığı söylendi.

Bu kampanya aynı anda gerçekleşiyor ve bu da Çin ile bağlantısı olan siber suçluların, büyüme hedeflerine ulaşmalarına yardımcı olmak için yapay zeka teknolojilerine erişimi olan kişileri hedef alma olasılığını artırıyor.

Neden önemlidir?

Kurumsal savunucuların belirli tehdit aktörlerini izlemesi gerekir; bu zor ama gereklidir.

Bu kampanya, tehdit şu anda bir kuruluşun tehdit modelinin parçası olmasa bile, kötü niyetli davranışları tespit etmek için temel oluşturmanın ne kadar önemli olduğunu gösteriyor.

Yüksek hedef odaklı kimlik avı kampanyalarında ilk adım olarak ortak araçların kullanılması, dikkatli olmanın ve güçlü siber güvenlik araçlarına sahip olmanın ne kadar önemli olduğunu gösteriyor.

Yahoo! Paranoids Gelişmiş Siber Tehdit Ekibi ve Proofpoint’in işbirliği, bu operasyonun yerinin belirlenmesinde çok yardımcı oldu.

Siber tehditler değiştikçe, bunun gibi ortaklıklar ve kapsamlı tehdit araştırmaları, karmaşık saldırılara karşı koruma sağlamak için gerekli olmaya devam edecektir.

Uzlaşma göstergeleri

Free Webinar on Live API Attack Simulation: Book Your Seat | Start protecting your APIs from hackers