Turla APT Grubu Avrupa Dışişleri Bakanlığı’na saldırıyor

Rusya merkezli tanınmış gelişmiş kalıcı tehdit (APT) grubu Turla’nın Avrupa Dışişleri Bakanlığı’nın peşine düştüğü söyleniyor.

Bu yeni siber casusluk girişimi Turla’nın ne kadar yenilikçi ve ısrarcı olduğunu gösteriyor.

Grup 2004’ten beri faaliyet gösteriyor ve dünya çapında devlet kurumlarına ve önemli işletmelere yönelik yüksek profilli saldırılarıyla tanınıyor.

Free Webinar on Live API Attack Simulation: Book Your Seat | Start protecting your APIs from hackers

Saldırı Vektörü: Microsoft Outlook’tan Suistimal Edildi

Trendmicro raporlarına göre, Ağustos 2018’de yapılması planlanan operasyon Microsoft Outlook’u ve Doğu Avrupa’nın favori e-posta istemcisi The Bat!’ı hedef alıyordu.

Turla, bu siteleri hackleyerek ve giden tüm e-postaları saldırganlara göndererek özel bilgilere erişmek istiyordu.

Bu yöntem, grubun yalnızca konuşmaları dinlemesine olanak sağlamakla kalmıyor, aynı zamanda komuta ve kontrol (C&C) sunucularına bilgi göndermek için e-postayı da kullanıyor.

LunarWeb ve LunarMail, Avrupa Dışişleri Bakanlığı’nı ve onun diplomatik misyonlarını tehlikeye atmak için kullanıldı.

Turla’nın bu operasyondaki stratejisinin büyük bir kısmı, muhtemelen ilk ihlali gerçekleştirmek için de kullanılan özel hazırlanmış PDF dosyalarını kullanmaktı.

Grup, sistemlere girdikten sonra arka kapıları ve özel kötü amaçlı yazılımları içeren karmaşık araç setini kullanarak bunların üstesinden gelmek ve onlar üzerinde güç sahibi olmak istedi.

Araştırmacılar, başlangıçtaki tehlikenin tamamını bilmeseler de, sunucudaki tehlikelerden birinde kurulumla ilgili bir bileşen tespit ettiler: şu kaynak dosyalardan derlenmiş bir ASP.NET web sayfası:

• \aspnet_client\system_web.aspx
• \aspnet_client\system_web.cs

System_web.aspx, Microsoft Exchange Server’daki güvenlik açıklarından yararlanan, Çin uyumlu APT Hafnium’un bilinen bir IoC’sidir. Bunun bir tesadüf veya yanıltıcı bir işaret olduğunu düşünüyoruz.

System_web.aspx sayfası, zararsız görünen bir Zabbix aracı günlüğünü döndürür. SMSKey çerezi gizlice bir şifre gerektirir. Microsoft.SCCM.Update.Manager parolasını ve tuzunu kullanarak, bir AES-256 anahtarı ve IV, iki yerleşik blobun kodunu çözmek için oluşturulur ve bunlar, taraması kısıtlanmış bir dizindeki iki geçici dosyaya bırakılır.

Analizciler parolayı bilmiyor ancak dosya boyutları, Aşama 1 yükleyici ve Aşama 2 blob ile LunarWeb arka kapısıyla eşleşiyor.

Son bölümde kurulumculara, yükleyicilere ve yüklerine baktıktan sonra araştırmacılar daha önce iki arka kapı hakkında bilgi sahibi değildi.

LunarLoader yürütme sırasını başlatır.

Aşama 2 blob yolunun şifresini çözer ve simetrik bir anahtar şifresi olan RC4’ü kullanarak şifrelenmiş bir veriyi okur.

Bir muteks veya olay yerine, yalnızca bir yükleyici örneğinin etkin olmasını sağlamak için benzersiz bir ada sahip bir posta yuvasını açar ve oluşturur.

Bilgisayarın DNS etki alanı adının MD5 karması bir şifre çözme anahtarı oluşturur ve doğrular.

Bir PE dosyası oluşturmak için yükün şifresi AES-256 ile çözülür. LunarLoader, PE görüntü belleğini ayırır ve yeni bir iş parçacığında çalıştırılmak üzere dışa aktarılan bir PE işlev adının şifresini çözer. Fonksiyonun yansıtıcı bir yükleyicisi vardır.

DNS kullanarak yük şifresinin çözülmesi bir yürütme engelidir. Yükleyici yalnızca amaçlanan kuruluşta çalışır, bu da alan adı olmadan analiz yapılmasını engelleyebilir.

LunarLoader tek başına veya truva atı haline getirilmiş açık kaynaklı yazılımda çalışabilir.

İkincisi, bir Windows Yerel Yönetici Parola Çözümü bileşeni olan truva atı haline getirilmiş bir AdmPwd ile meydana geldi.

Turla’nın stratejilerini ve araçlarını değiştirmesinin üzerinden uzun zaman geçti, bu da onu en gelişmiş ve zorlu APT gruplarından biri haline getiriyor.

Grubun, Carbon ve Kazuar gibi hem yaygın hem de nadir kötü amaçlı yazılım ailelerini kullanması ve uydulara dayalı komuta ve kontrol sistemlerine sahip olmasıyla tanınıyor.

Yıllar boyunca Turla düzenli olarak devlet kurumlarını, orduyu, okulları, araştırma laboratuvarlarını ve ilaç şirketlerini hedef aldı.

Avrupa Dışişleri Bakanlığı’na yönelik bu kampanya kamuoyuna açıklandığından beri, hackleme konusunda ülkeler arasında daha fazla işbirliği yapılması yönünde çağrılar yapılıyor.

Bilgiyi ve işleri yapmanın en iyi yollarını paylaşmak, ülkeler ve gruplar için Turla gibi devlet destekli aktörlerden gelen tehditlerle mücadelede çok önemli görülüyor.

Bir yükleyicinin, kod çakışmalarının ve talimatların paylaşılmasına rağmen arka kapılar farklı C&C iletişim teknikleri kullanır. İlk arka kapı olan LunarWeb, Windows Update trafiğini taklit etmek için HTTP(S) kullanır.

İkinci arka kapı olan LunarMail, Outlook’tan e-posta yoluyla veri çalmak için PNG veya PDF dosyalarını kullanıyor.

MITRE ATT&CK teknik

Bu tablo MITRE ATT&CK çerçevesinin 15. sürümü kullanılarak oluşturulmuştur..

On-Demand Webinar to Secure the Top 3 SME Attack Vectors: Watch for Free