Siber Muhbir

Security Joes, bugün yayınlanan yeni bir raporda, "Bu kötü amaçlı yazılım, gizleme veya koruyucu önlemlerden yoksun bir x64 ELF yürütülebilir dosyasıdır" dedi. "Saldırganların hedef klasörleri belirlemesine izin veriyor ve kök izinleriyle çalıştırılırsa potansiyel olarak tüm işletim sistemini yok edebilir."

Diğer yeteneklerinden bazıları, hızını ve erişimini artırmak için dosyaları aynı anda bozmak için çoklu iş parçacığı kullanmayı, dosyaların üzerine yazmayı, bunları sabit kodlanmış "BiBi" dizesini ("[RANDOM_NAME" biçiminde) içeren bir uzantıyla yeniden adlandırmayı içerir. BiBi[NUMBER]") ve belirli dosya türlerinin bozulmasını engelleme.

Siber güvenlik şirketi, "'Bibi' (dosya adındaki) dizesi rastgele görünse de, İsrail Başbakanı Benjamin Netanyahu için kullanılan yaygın bir takma ad olduğu için Orta Doğu'daki siyaset gibi konularla karıştırıldığında önemli bir anlam taşıyor" diye ekledi.

C/C++ ile kodlanmış ve 1,2 MB dosya boyutuna sahip yıkıcı kötü amaçlı yazılım, tehdit aktörünün komut satırı parametreleri aracılığıyla hedef klasörleri belirlemesine olanak tanır ve yol sağlanmazsa varsayılan olarak kök dizini ("/") seçer. Ancak, eylemin bu düzeyde gerçekleştirilmesi kök izinleri gerektirir.

BiBi-Linux Wiper'ın bir diğer dikkate değer yönü, arka planda engelsiz çalıştırmak için yürütme sırasında nohup komutunu kullanmasıdır. Üzerine yazılması atlanan dosya türlerinden bazıları .out veya .so uzantılı olanlardır.

Şirket, "Bunun nedeni, tehdidin çalışması için bibi-linux.out ve nohup.out gibi dosyalara ve Unix/Linux işletim sistemi (.so dosyaları) için gerekli olan paylaşılan kitaplıklara dayanmasıdır" dedi.

Gelişme, Sekoia'nın Arid Viper (diğer adıyla APT-C-23, Desert Falcon, Gazze Cyber Gang ve Molerats) olarak bilinen Hamas bağlantılı şüpheli tehdit aktörünün muhtemelen iki alt grup olarak örgütlendiğini ve her kümenin sırasıyla İsrail ve Filistin'e karşı siber casusluk faaliyetlerine odaklandığını ortaya çıkarmasıyla geldi.

SentinelOne araştırmacıları Tom Hegel ve Aleksandar Milenkoski, geçen hafta yayınlanan bir analizde, "Bireyleri hedef almak, Kurak Engerek'in yaygın bir uygulamasıdır" dedi.

"Bu, önceden seçilmiş Filistinli ve İsrailli yüksek profilli hedeflerin yanı sıra, tipik olarak savunma ve hükümet kuruluşları, kolluk kuvvetleri ve siyasi partiler veya hareketler gibi kritik sektörlerden daha geniş grupları içerir."

Grup tarafından düzenlenen saldırı zincirleri, kurbanlarını gözetlemek için çok çeşitli özel kötü amaçlı yazılımları dağıtmak için ilk izinsiz giriş vektörleri olarak sosyal mühendislik ve kimlik avı saldırılarını içerir. Bu, Micropsia, PyMicropsia, Arid Gopher ve BarbWire ve Rust'ta yazılmış Rusty Viper adlı yeni bir belgelenmemiş arka kapıdan oluşur.

ESET, bu ayın başlarında yaptığı açıklamada, "Toplu olarak, Arid Viper'ın cephaneliği, mikrofonla ses kaydetme, takılı flash sürücüleri tespit etme ve bunlardan dosya sızdırma ve kaydedilmiş tarayıcı kimlik bilgilerini çalma gibi çeşitli casusluk yetenekleri sağlıyor" dedi.