Ünlü tehdit grubu XDSpy’ın Rusya ve Moldova’daki kuruluşları hedef aldığı bildirildi.
Gelişmiş kimlik avı kötü amaçlı yazılım kampanyası, iyi koordine edilmiş saldırı zincirleri aracılığıyla hassas verileri çalmayı hedefliyor.
İlk Vektör Olarak Spear-phishing E-postaları
Broadcom raporuna göre, saldırı şüphelenmeyen kurbanlara gönderilen spear-phishing e-postalarıyla başlıyor. Bu e-postalar genellikle anlaşmayla ilgili belgeler olarak gizlenmiş arşiv ekleri içeriyor.
Kurban eki açtığında, XDDown adlı birincil bir kötü amaçlı yazılım modülü dağıtılır. Bu ilk enfeksiyon, daha kötü amaçlı faaliyetlerin yolunu açar.
How to Build a Security Framework With Limited Resources IT Security Team (PDF) - Free Guide
XDDown: Veri Hırsızlığına Açılan Kapı
XDDown, çok çeşitli hassas bilgileri toplamak üzere tasarlanmış ek eklentiler yükleyerek birincil kötü amaçlı yazılım modülü olarak işlev görür.
Bu eklentiler sistem bilgilerini toplayabilir, parolaları çıkarabilir, yerel dosyalara erişebilir ve en sonunda verileri saldırganların komuta ve kontrol (C2) sunucusuna sızdırabilir.
XDSpy kampanyası siber güvenlik uzmanları arasında önemli endişelere yol açtı. Bu saldırıların hedefli doğası nedeniyle, Rusya ve Moldova’daki kuruluşlar özellikle savunmasızdır. Uzmanlar bu tehditlere karşı koymak için çeşitli azaltma stratejileri öneriyor:
- Çalışan eğitimi: Çalışanlarınızı hedefli kimlik avı e-postalarının tehlikeleri ve şüpheli ekleri nasıl tanıyacakları konusunda eğitin.
- Gelişmiş Güvenlik Çözümleri: Kötü amaçlı yazılımları tespit etmek ve etkisiz hale getirmek için uç nokta algılama ve yanıt (EDR) araçları gibi gelişmiş güvenlik önlemlerini uygulayın.
- Düzenli Güncellemeler: Bilinen güvenlik açıklarını kapatmak için tüm sistemlerin ve yazılımların düzenli olarak güncellendiğinden emin olun.
XDSpy grubu taktiklerini geliştirmeye devam ederken, kuruluşların siber güvenlik çabalarında dikkatli ve proaktif olmaları gerekiyor.
Siber suçlulara karşı sürdürülen mücadele, güçlü güvenlik önlemlerinin ve sürekli teyakkuzun önemini vurguluyor.
Are you from SOC and DFIR Teams? – Analyse Malware Incidents & get live Access with ANY.RUN -> Free Access