Ekonomi Haberleri — Kaspersky, bir Asya ülkesinde yalnızca kamu kurumlarının kullandığı özelleştirilmiş Windows 10 sürümüne yönelik saldırıda, meşru yazılım bileşenleri aracılığıyla devreye sokulan "NetamLoader" adlı yeni kötü amaçlı yazılım altyapısını keşfetti.
Şirketten yapılan açıklamaya göre, Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde yalnızca kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü hedef alan siber saldırıyı gün yüzüne çıkardı.
Saldırganlar, meşru yazılım bileşenlerinden yararlanarak daha önce bilinmeyen “NetamLoader” adlı kötü amaçlı yazılım altyapısını devreye soktu.
Söz konusu altyapı, faaliyetlerini gizlerken arka planda ek zararlı kodları alıp çalıştırabiliyor.
Kaspersky, tehdit izleme ağı üzerinden saldırının bir kurbanını tespit etti. Saldırıyı bilinen herhangi bir tehdit grubuyla ilişkilendiremedi. Zararlı yazılım, söz konusu işletim sistemine özel geliştirildi. Yaptığı işlemler arasında, sistemin kendi güncelleme bileşenine ait günlük kayıtlarındaki belirli girdileri silmek de bulunuyor.
Kaspersky'nin tehdide yönelik araştırması, şirketin bu yılın ilk yarısında Windows güncelleme klasöründeki bir arşiv dosyasında şüpheli bir yapılandırma dosyası tespit etmesiyle başladı.
Arşivde, üçüncü taraf yama yönetimi aracı Patch My PC yazılımının bileşenleri ve Microsoft tarafından imzalanmış bir modül de dahil olmak üzere çoğunluğu meşru yazılımlardan oluşan programlar yer alıyordu.
Saldırganlar, değiştirilmiş yardımcı dosyalar aracılığıyla söz konusu yazılımların zararlı talimatları yüklemesini sağladı.
Arşivin bulunduğu konum ve içeriği, saldırganların hedeflerine ulaşmak için yazılımların dağıtım veya güncelleme süreçlerini kötüye kullandığı olası bir yazılım tedarik zinciri saldırısına işaret ediyor.
Araştırmacılar, arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi. Ayrıca elde edilen bulgular, Patch My PC'nin veya yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor.
NetamLoader, zararlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor. Ardından yürütmeyi meşru bir Windows sürecine taşıyarak zararlı faaliyetin ilk programla ilişkilendirilmesini zorlaştırıyor.
Zararlı yazılım tarama işlevlerine müdahale edebiliyor
Zararlı yazılım çerçevesi ayrıca kötü amaçlı yazılım tarama işlevlerinden birine müdahale ediyor ve araştırmacıların saldırıyı yeniden oluşturmasına yardımcı olabilecek dosyaları siliyor.
NetamLoader etkinleştikten sonra, ek talimatlar ve yapılandırma değişiklikleri almak için saldırganların kontrolündeki bir sunucuyla iletişim kuruyor. Araştırmacıların incelediği yapılandırma dosyasında, ilk bağlantı kurulmadan önce 20 ila 40 dakikalık bir bekleme süresi bulunuyor.
Sunucudan geçerli bir yanıt alınamazsa zararlı yazılım, yeniden denemeden önce 22 ila 28 saat bekliyor. Bu gecikmeler nedeniyle kısa süreli izleme oturumlarında incelenebilecek ağ etkinliği çok sınırlı kalabiliyor.
Açıklamada görüşlerine yer verilen Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin, teknolojik egemenliğin birçok hükümet için öncelikli konulardan biri haline geldiğini belirtti.
Hükümetlerin kendilerine özel platformları kullanmalarının kontrol imkanı sağladığını vurgulayan Lozhkin, "Ancak bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği anlamına da geliyor. Böyle bir ekosistemin olgunlaşması ise zaman alıyor. Bu vaka, savunma ekiplerinin yalnızca her bir programın meşru olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor." ifadelerini kullandı.
