Tehdit Oyuncuları Bumblebee kötü amaçlı yazılımları ‘Managine Opmanager’ sorguları aracılığıyla dağıtmak için zehir bing arama sonuçları

Tehdit aktörleri, bing arama sonuçlarını manipüle etmek için SEO zehirlenme tekniklerinden yararlandı ve “yönetme opmanager” sorgulayan kullanıcıları kötü amaçlı bir alana yönlendirdi, opmanager[.]Pro.

Bu site, meşru yazılım yüklerken Bumblebee kötü amaçlı yazılım yükleyicisini gizlice dağıtan manageengine-opmanager.msi adlı bir truva atı MSI yükleyicisi dağıttı.

İlk olarak 2021’in sonlarında egzotik Lily ve TA578 gibi aktörlerle ilişkili bir başlangıç erişim aracı olarak tanımlanan Bumblebee, benzersiz bir kullanıcı ajanı dizesi kullanır ve genellikle özel yükleyicilere sahip DLL’ler içeren ISO dosyaları aracılığıyla teslim edilir.

SEO zehirlenme kampanyasının ortaya çıkışı

Bu örnekte, kötü amaçlı yazılım MSIMG32.dll içine gömülmüş ve bir etki alanı üretim algoritması (DGA) aracılığıyla dinamik olarak oluşturulan alanlarla komut ve kontrol (C2) iletişimi oluşturarak confor.exe ile yürütülmüştür.

Bu yeniden diriliş, BT araçlarını taklit eden benzer Bing bazlı zehirlenmenin Mayıs 2025 Cyjax analizi dahil olmak üzere önceki raporları yansıtıyor ve 2022 ESET araştırmasında belirtildiği gibi, Bumblebee’nin hilebot’a benzeyen modüler yapılara doğru evrimi ile hizalanıyor.

Kampanyanın ağ yönetimi yazılımı arayan ayrıcalıklı BT yöneticilerinin hedeflenmesi hızlı yükselmeyi kolaylaştırdı ve bumblebee kobalt grev gibi yükleri getirdi veya bu durumda Akira fidye yazılımı dağıtımına yol açtı.

Trojanize edilmiş ileri-IP-Scanner.MSI ile paralel bir müdahalenin Swisscom B2B CSIRT’inden onaylama, kampanyanın genişliğini vurgulayarak, birden fazla kuruluşu etkileyen ve Swisscom davasında dokuz saatten 44 saate kadar gözlenen olayda 44 saat arasında değişiyor.

Ayrıntılı izinsiz giriş analizi

Rapora göre, yürütme üzerine, Bumblebee yükü C2’yi 109.205.195 gibi IP adresleriyle başlattı.[.]211 ve 188.40.187[.]145 EV2SIRBD269O5J.org gibi DGA alanlarını kullanma.

Birkaç saat içinde, ek C2 ila 172.96.137 için bir Adaptixc2 Beacon (adgnsy.exe) kullandı.[.]160, SystemInfo, NLTest /Dclist :, ve Net Group Domain Adims /Dom gibi komutlar aracılığıyla iç keşifleri etkinleştirme.

Tehdit aktörleri daha sonra ayrıcalıklı hesaplar (örn. Backup_ea) ve artan ayrıcalıklar oluşturdu, kimlik bilgisi çıkarma için wbadmin.exe kullanarak ntds.dit’i boşaltmaya RDP aracılığıyla yanal olarak hareket etti.

Kalıcılık Rustdesk kurulumları ile, 193.242.184’e bir SSH Ters Tüneli ile kalıcılık elde edildi[.]150 Proxed DAHA FAZLA AKTİVİTE.

Discovery, depolanan kimlik bilgileri için yeniden adlandırılmış bir SoftperFect Network tarayıcısı (N.EXE) dağıtılmasını ve Veeam PostgreSQL veritabanlarının PSQL.EXE ile sorgulanmasını içeriyordu.

Veri Defiltrasyonu FileZilla SFTP aracılığıyla 185.174.100[.]203, daha önce comsvcs.dll ile Rundll32.exe kullanılarak LSASS dökümünden önce birden çok ana bilgisayarda.

İzinsiz giriş, Akira Fidye Yazılımı (Locker.exe) dağıtımıyla sonuçlandı, kök ve çocuk alanlarını yerel sürücüleri ve ağ paylaşımlarını hedefleyen seçeneklerle şifreledi.

Bu dizi, Bumblebee’nin Proofpoint ve Microsoft’un tarihsel analizlerinde belgelendiği gibi, Sliver ve Conti gibi araçlarla örtüştüğü yeni yazılım öncesi ekosistemlerdeki rolünü vurgulamaktadır.

Tespit için kuruluşlar, kullanıcı dizinlerinden anormal MSI yürütmeleri avlamayı, onayı.

MSI kurulumlarını 24 saat içinde keşif, kimlik bilgisi erişim ve yanal hareketle ilişkilendiren davranış kuralları tehdit avını artırabilirken, DGA modellerini ve SSH tünelini izlerken bu tür ilk erişim brokerlerine karşı proaktif savunma sağlar.

Uzlaşma Göstergeleri (IOCS)

The Ultimate SOC-as-a-Service Pricing Guide for 2025– Ücretsiz indir