Siber Muhbir

Ekim ayında gerçekleşen saldırılar, Agrius, BlackShadow ve Pink Sandstorm (daha önce Americium) olarak da bilinen Agonizing Serpens adı altında takip ettiği bir İran ulus devlet hack ekibine atfedildi.

Palo Alto Networks Unit 42, paylaşılan yeni bir raporda, "Saldırılar, kişisel olarak tanımlanabilir bilgiler (PII) ve fikri mülkiyet gibi hassas verileri çalma girişimleriyle karakterize ediliyor" dedi.

"Saldırganlar bilgileri çaldıktan sonra, saldırganların izlerini örtmek ve virüslü uç noktaları kullanılamaz hale getirmek için çeşitli siliciler kullandılar."

Bu, MultiLayer, PartialWasher ve BFG Agonizer gibi üç farklı yeni sileceğin yanı sıra Sqlextractor olarak bilinen veritabanı sunucularından bilgi çıkarmak için ısmarlama bir araç içerir.

En az Aralık 2020'den beri aktif olan Agonizing Serpens, İsrail varlıklarını hedef alan silici saldırılarıyla bağlantılı. Bu Mayıs ayının başlarında Check Point, tehdit aktörünün ülkeyi hedef alan saldırılarında Moneybird adlı bir fidye yazılımı türünü kullandığını detaylandırdı.

En son saldırı seti, web kabuklarını dağıtmak ve kurban ağlarının keşfini yapmak ve yönetici ayrıcalıklarına sahip kullanıcıların kimlik bilgilerini çalmak için ilk erişim yolları olarak savunmasız internete yönelik web sunucularını silahlandırmayı gerektiriyor.

Yanal bir hareket aşamasını, Sqlextractor, WinSCP ve PuTTY gibi genel ve özel araçların bir karışımını kullanarak veri sızdırma izler ve son olarak silici kötü amaçlı yazılımı teslim eder -

• MultiLayer, kurtarma çabalarına direnmek ve önyükleme sektörünü silerek sistemi kullanılamaz hale getirmek için dosyaları silinmek üzere numaralandıran veya rastgele verilerle bozan bir .NET kötü amaçlı yazılımı.
• PartialWasher, sürücüleri taramak ve belirtilen klasörleri ve alt klasörlerini silmek için C++ tabanlı bir kötü amaçlı yazılım.
• BFG Agonizer, büyük ölçüde CRYLINE-v5.0 adlı açık kaynaklı bir projeye dayanan bir kötü amaçlı yazılım.

Agrius bağlantıları, grup tarafından daha önce kullanıldığı tespit edilen Apostle, IPsec Helper ve Fantasy gibi diğer kötü amaçlı yazılım aileleriyle birden fazla kod çakışmasından kaynaklanmaktadır.

Unit 42 araştırmacıları, "Görünüşe göre Agonizing Serpens APT grubu yakın zamanda yeteneklerini yükseltti ve EDR ve diğer güvenlik önlemlerini atlamaya çalışmak için büyük çaba ve kaynak harcıyorlar" dedi.

"Bunu yapmak için, bilinen farklı kavram kanıtı (PoC) ve sızma testi araçlarının yanı sıra özel araçlar arasında geçiş yapıyorlar."