VMware ve Fortinet’i Casusluk Amaçlı Kullanan Çinli UNC3886 Aktörleri 0 Gün

2021 yılında, Çin’in bağlantı noktası siber casusluk aktörü olduğundan şüphelenilen UNC3886’nın, virüslü makinelere arka kapılar kurmak için FortiOS ve VMware’deki birden fazla güvenlik açığından yararlanarak büyük ölçekte stratejik kuruluşları hedef aldığı ortaya çıktı.

Fortinet ve VMware, güvenlik açıklarını gidermek için yamalar yayınladı.

Bununla birlikte, tehdit aktörünün saldırı vektörü üzerinde yapılan daha ileri araştırmalar, tehlikeye atılmış makineler üzerinde birkaç katmanlı organize kararlılık kullanan tehdit aktörünün sofistike, temkinli ve kaçamak doğasını ortaya çıkardı.

Buna alternatif kanal erişimi elde etmek için ağ cihazlarına, hipervizörlere ve sanal makinelere erişimin sürdürülmesi de dahildir.

Güvenliği ihlal edilmiş ortama erişim sağladıktan sonra, uzun vadeli kalıcılık için kamuya açık rootkit’leri kullandılar ve ayrıca C&C sunucusuyla bağlantı kurmak için kötü amaçlı yazılım yerleştirdiler.

Free Webinar on API vulnerability scanning for OWASP API Top 10 vulnerabilities -> Book Your Spot

Ayrıca, özel kötü amaçlı yazılım kullanarak TACACS+ (Terminal Erişim Denetleyicisi Erişim Kontrol Sunucusu) kimlik doğrulamasından da bilgi çıkardılar.

Sıfır Gün Sömürü

Cyber ​​Security News ile paylaşılan raporlara göre UNC3886 tehdit aktörü, 2021’den beri VMware vCenter güvenlik açığı CVE-2023-34048’den yararlanıyor ve bu güvenlik açığı bulunan vCenter makinelerinde kimlik doğrulaması yapılmadan uzaktan komut yürütülmesine olanak tanıyor.

Buna ek olarak aşağıdakiler gibi başka güvenlik açıkları da vardı:

• CVE-2022-41328 – Yol Geçişi – FortiGate cihazlarında arka kapıları indirmek ve çalıştırmak için kullanılır
• CVE-2022-22948 – Bilgi İfşası – vCenter’ın postgresDB’sinde şifrelenmiş kimlik bilgileri elde etmek için kullanılır
• CVE-2023-20867 – Kimlik Doğrulamayı Atlama – Güvenliği ihlal edilmiş ESXi ana bilgisayarından kimliği doğrulanmamış Misafir işlemlerini yürütmek için kullanılır
• CVE-2022-42475 – Yığın Tabanlı Arabellek Taşması – Özel hazırlanmış istekler yoluyla kimliği doğrulanmamış rastgele kod veya komutları yürütmek için kullanılır.

Ayrıca, uzun vadeli kalıcılık sağlamak için halka açık çeşitli rootkitler kullanıldı. UNC3886 tarafından kullanılan rootkit’ler REPTILE, MEDUSA ve SEAELF’tir.

SÜRÜNGEN

Bu, bir sisteme arka kapı erişimi sağlayan açık kaynaklı bir linux rootkit’tir.

Ek olarak bu rootkit, dosyaları, işlemleri ve ağ bağlantılarını gizleme gibi eylemler, etkinleştirme için TCP, UDP veya ICMP gibi özel paketleri dinleme seçeneği ve gerçek şifreyi çözmek için kullanılabilecek bir LKM başlatıcısı da dahil olmak üzere çeşitli işlevler sunuyordu. çekirdek modül kodunu dosyadan çıkarın ve belleğe yükleyin.

Bu açık kaynaklı bir rootkit olmasına rağmen tehdit aktörü, bunu kendi ihtiyaçlarına göre özelleştirmek için birkaç kod değişikliği yaptı.

Kod değişikliklerinin çoğunun 1 Mart 2020’de tanıtılan 2.1 sürümünden önce olduğu gözlemlendi.

Tespit edilen önemli değişikliklerden biri, bir süreci daemonize etmeye yönelik yeni bir işlevi içeren LKM başlatıcısının içindeydi.

MEDUSA ve DENİZF

MEDUSA, LD_PRELOAD aracılığıyla dinamik bağlayıcı ele geçirmeyle uygulanan başka bir açık kaynaklı rootkit’ti.

MEDUSA’nın yükleyicisine SEAELF adı verildi. MEDUSA’nın iki sürümü belirlendi ve her ikisi de yapılandırma dizelerini şifrelemek için XOR şifreleme anahtarlarını kullandı.

Ayrıca, MEDUSA konfigürasyonunda birden fazla MEDUSA eseri oluşturmak için kullanılabilecek birkaç ek değişiklik görüldü.

Kötü Amaçlı Yazılım Kullanımı

Tehdit aktörü, rootkit’lerin yanı sıra MOPSLED ve RIFLESPINE gibi çeşitli kötü amaçlı yazılımlar da kullandı. MOPSLED, HTTP veya özel bir ikili protokol üzerinden TCP üzerinden C2 ile iletişim kurabilen, kabuk kodu tabanlı modüler bir arka kapıdır.

Bu arka kapının temel işlevi, eklentileri C2 sunucusundan alma yeteneğiydi ve aynı zamanda ChaCha20 şifreleme algoritmasını kullanıyor.

Ayrıca UNC3886’nın, vCenter sunucularına ve halihazırda REPTILE’ın kurulu olduğu bazı tehlikeye atılmış uç noktalara dağıtmak için bu arka kapının Linux versiyonunu kullandığı tespit edildi.

RIFLESPINE, dosyaları aktarmak ve komutları yürütmek için Google Drive’ı kullanan başka bir platformlar arası arka kapıdır.

Bu arka kapı, güvenliği ihlal edilen makine ile tehdit aktörü arasında iletilen verileri şifrelemek amacıyla AES algoritmasını uygulamak için CryptoPP kitaplığını kullanır.

Bu arka kapının dağıtımı, güvenliği ihlal edilmiş uç noktada yürütülürken RIFLESPINE’a yönelik talimatları içeren şifrelenmiş bir dosyanın Google Drive’da oluşturulmasıyla başlar.

Ayrıca yürütme çıktıları şifrelenecek, geçici bir dosyada saklanacak ve ardından tekrar Google Drive’a yüklenecek.

RIFLESPINE’daki talimatlar aşağıdakileri içerir:

• Dosyayı get komutuyla indirin.
• Put komutuyla dosyayı yükleyin.
• Settime ile bir sonraki çağrı süresini milisaniye cinsinden ayarlayın.
• /bin/sh ile isteğe bağlı komutların yürütülmesi

Uzlaşma Göstergeleri

Ağ Tabanlı Göstergeler

Free Webinar! 3 Security Trends to Maximize MSP Growth -> Register For Free