Yeni .NET Çok Aşamalı Yükleyici Kötü amaçlı yükler dağıtmak için Windows sistemlerini hedefler

Yakın zamanda keşfedilen .NET tabanlı çok aşamalı bir yükleyici, karmaşık mimarisi ve Windows sistemlerine bir dizi kötü amaçlı yükü dağıtma yeteneği nedeniyle siber güvenlik araştırmacılarının dikkatini çekti.

Threatray tarafından 2022’nin başından beri izlenen bu yükleyici, AgentTesla, Formbook, Remcos ve 404Keylogger gibi emtia samanlılar, keyloggers ve uzaktan erişim truva atlarını (sıçanlar) sunmak için sofistike üç aşamalı bir süreç kullanıyor.

Şifreli yükleri birden fazla aşamaya yerleştiren yükleyicinin tasarımı, geleneksel güvenlik araçları için algılama ve analizi zorlaştırarak yüksek düzeyde şaşkınlık gösterir.

– Reklamcılık –

Kod yeniden kullanım kümelenmesi yoluyla üç yıldan fazla bir süredir tanımlanan 20.000’den fazla örnekle, bu yükleyici kötü amaçlı yazılım manzarasında kalıcı ve gelişen bir tehdidi temsil etmektedir.

Üç aşamalı yükleme mekanizması açıklandı

Yükleyici, önce Palo Alto Networks’ten Unit42 tarafından da not edilen daha yeni varyantlarda Bitmap kaynakları içinde gizlenen, sonraki aşamalar için şifreli veri içeren bir .NET yürütülebilir dosyası yürüterek çalışır.

İkinci aşama, bir .NET DLL, üçüncü aşamayı XOR tabanlı şifre çözme kullanarak belleğe çözer ve yüklerken, son aşama kötü amaçlı yükü dağıtır.

Threatray’ın analizi, üçüncü aşamanın kod yapısının istikrarını vurgular ve kötü amaçlı yazılım beslemelerinde varlığını tespit etmek için tasarlanmış özel bir Yara kuralı ile etkili izleme sağlar.

Konuşlandırılan yükler ağırlıklı olarak bilgi çalanlar ve sıçanlar içerir, AgentTesla ve Remcos gibi aileler Mart 2022 ile Şubat 2025 arasında sık sık görünür.

İlginç bir şekilde, yükleyici taze örnekler ve uzlaşma göstergeleri (IOC’ler) sağlarken, Xworm ve Novodealer gibi varyantlar, ilk keşiflerinden çok sonra bu yükleyicide ortaya çıktığından, Vipkeylogger’ın vahşi doğadaki görünümü ile eşzamanlı olarak tanımlandığı için yeni kötü amaçlı yazılım ailelerinin erken tespitinde sınırlı bir değere sahiptir.

Yük dağıtım ve izleme bilgileri

Entrikaları daha da derinleştiren araştırmacılar, yükleyicinin geliştiricilerinin, Meyve Ninja ve Monster Hunter’a atıfta bulunanlar gibi oyunlardan ilham alan işlev adlarını ikinci aşamanın dağıtım rutinlerine atıfta bulunduğunu belirtti.

Bu benzersiz tanımlayıcılar, izleme amacıyla ek IOC’ler görevi görebilir.

Yükleyicinin adapte olma kabiliyeti, yüklü dizilerden yük depolama için Bitmap kaynaklarına geçiş ile kanıtlanmıştır, bakımcılarının statik analiz ve imza tabanlı algılama sistemlerinden kaçınma çabalarının altını çizmektedir.

Bu uyarlanabilirlik, gözlemlenen örneklerin hacmi ile birleştiğinde, belirli bir tehdit aktörüne veya ailesine atfedilmesi zor olmasına rağmen, yükleyicinin arkasında iyi organize edilmiş bir operasyona işaret etmektedir.

Siber güvenlik topluluğu, bu tehdidin kökenlerini ve operatörlerini daha iyi anlamak için bilgiler paylaşmaya teşvik edilmektedir.

Aşağıda, yükleyici ile ilişkili temel IOC’lerin özetlenmiş bir tablosu, yük konumlarını, ilk örnek karmalarını, çıkarılan üçüncü aşamalı karmalar ve nihai yük aileleri dağıtılan detaylandırılmıştır.

Uzlaşma Göstergeleri (IOC)

Bu haberi ilginç bul! Anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin!