Tehdit aktörleri, tespit ve engelleme analizinden kaçınmak için Gölgeler Saldırı Zincirinden yararlanıyor

Ajan Tesla, Xloader ve Remcos Rat da dahil olmak üzere çeşitli kötü amaçlı yazılımlar sunmak için “basamaklı gölgeler” olarak bilinen karmaşık bir saldırı zinciri kullanılarak gelişmiş çok katmanlı bir kimlik avı kampanyası ortaya çıktı.

Saldırganların stratejisi, sadece geleneksel sanal alan ortamlarından kaçınmakla kalmayıp, aynı zamanda siber güvenlik uzmanları tarafından analizi de karmaşıklaştıran birden fazla, görünüşte basit ama stratejik olarak katmanlı aşamalar kullanmaya çalışır.

Aldatıcı başlangıç

Kampanya, genellikle yeni bir ödeme yapıldığını iddia ederek resmi iletişim olarak gizlenen kimlik avı e -postaları ile başlar.

– Reklamcılık –

Bu e -postalar, kurbanı bir ‘sipariş dosyası’ incelemeye yönlendiren “DOC00290320092.7Z” adlı sıkıştırılmış bir dosya içerir.

Açıldıktan sonra, .7Z dosyası bir JavaScript kodlu (.jse) dosyasını ortaya çıkarır. Bu ilk dosya bir indirici görevi görür, bir uzak sunucudan bir PowerShell komut dosyası getirir ve enfeksiyon zincirini başlatır.

Katmanları çözmek

Ağır şaşkınlıktan yoksun PowerShell komut dosyası, kod çözülmüş, diske kaydedilmiş ve yürütülen baz 64 kodlu bir yükü barındırır.

İlginç bir şekilde, müteakip analiz, bir .NET veya bir Otoit derlenmiş yürütülebilir dosyası arasında seçim yaparak yükün değiştiğini ortaya koymuştur.

Rapora göre, saldırı zincirindeki bu çatallanma, kötü amaçlı yazılımın uyum sağlamasını, enfeksiyon başarısını artırmak için yollar arasında seçim yapmasını sağlar.

.NET yürütülebilir dosyası, çalışan bir regasm.exe işlemine enjekte etmeden önce AES veya Triple DES ile yükü çözer.

Bu kampanyadaki çoklu .NET örneklerinde bulunan benzerlikler, Ajan Tesla veya Xloader gibi farklı kötü amaçlı yazılım ailelerine, aynı altta yatan enfeksiyon yöntemini kullanan süreçlere enjekte etmek için kasıtlı bir tasarım göstermektedir.

Diğer alternatif yolda, otoit yürütülebilir ürünler ek bir karmaşıklık katmanı sunar.

Kabuk kodunu yükleyen, bir kez şifresini çözen, son kötü amaçlı yazılımları bir REGSVCS işlemine enjekte eden şifreli yükler içerir.

Bu otomatik komut dosyasının rolü, DllCalladDress referansları aracılığıyla kötü amaçlı kod çalıştırmayı ve analiz için zorlukları da içeriyor.

Saldırganların karmaşık stratejilerine rağmen, Advanced Wildfire gibi güvenlik çözümleri, basamaklı gölgeler saldırı zincirinin her aşamasını tespit edebilir.

Palo Alto Networks’ün gelişmiş URL filtrelemesi, gelişmiş DNS güvenliği ve XSIAM ile Cortex XDR bu tehditlere karşı katmanlı savunmalar sağlar.

Potansiyel olarak tehlikeye atılan kuruluşlar için, Ünite 42 ile hemen temas önerilir.

Bu saldırı zinciri, saldırganların tespitten kaçınmak için karmaşıklığa ve çeşitliliğe güvendiği siber tehditlerde devam eden bir eğilimi vurgulamaktadır.

Analiz edilen teknikler, özellikle otoit tabanlı kötü amaçlı yazılımlarla başa çıkma ve hata ayıklama kabuk kodu ile tehdit avcılık yeteneklerini geliştirmek için önemli bilgiler sunar.

Bu analiz, siber savunucular ve saldırganlar arasındaki sürekli kedi ve fare oyununun altını çizerek, sürekli uyanıklık ve gelişmiş algılama yeteneklerine olan ihtiyacı sergilemektedir.

Uzlaşma göstergeleri

Otoit enfeksiyon zinciri 1

Otoit enfeksiyon zinciri 2

Ajan Tesla (Varyant) Yapılandırması

Bu haberi ilginç bul! Anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin!