Siber Muhbir

Etkinliği keşfeden BlackBerry Araştırma ve İstihbarat Ekibi, hedef odaklı kimlik avı kampanyasının hedeflerinin Pakistan, Mısır, Sri Lanka, Bangladeş, Myanmar, Nepal ve Maldivler gibi ülkeleri içerdiğini söyledi.

APT-C-17, Baby Elephant, Hardcore Nationalist, Leafperforator, Rattlesnake ve Razor Tiger isimleriyle de bilinen SideWinder'ın Hindistan ile bağlantılı olduğu değerlendiriliyor. 2012'den beri faaliyet göstermektedir ve genellikle saldırı zincirlerini tetikleyen kötü amaçlı yükler sunmak için hedef odaklı kimlik avını bir vektör olarak kullanır.

Kanadalı siber güvenlik şirketi geçen hafta yayınlanan bir analizde, "SideWinder, tespit edilmekten kaçınmak ve hedeflenen implantları teslim etmek amacıyla e-posta hedefli kimlik avı, belge istismarı ve DLL yandan yükleme tekniklerini kullanıyor" dedi.

En son saldırı seti, alıcıların duygusal durumunu olumsuz yönde etkilemek ve onları bubi tuzaklı Microsoft Word belgelerini açmaları için kandırmak için cinsel taciz, çalışanların işten çıkarılması ve maaş kesintileriyle ilgili tuzaklar kullanıyor.

Sahte dosya açıldıktan sonra, Pakistan'ın Limanlar ve Denizcilik Genel Müdürlüğü ("reports.dgps-govtpk[.] com") bir RTF dosyasını almak için.

RTF belgesi, sırayla, Microsoft Office Denklem Düzenleyicisi'ndeki başka bir yıllık güvenlik açığı olan CVE-2017-11882'den yararlanan bir belgeyi indirir ve JavaScript kodunu başlatmaktan sorumlu olan kabuk kodunu yürütmek amacıyla, ancak yalnızca güvenliği ihlal edilmiş sistemin meşru olduğundan ve tehdit aktörünün ilgisini çektiğinden emin olduktan sonra.

Şu anda JavaScript kötü amaçlı yazılımı aracılığıyla ne sunulduğu bilinmemekle birlikte, nihai hedefin SideWinder tarafından başlatılan önceki kampanyalara dayalı olarak istihbarat toplama olması muhtemeldir.

BlackBerry, "SideWinder tehdit aktörü, yeni bölgelerdeki kurbanları hedeflemek için altyapısını geliştirmeye devam ediyor" dedi. "Ağ altyapısının ve dağıtım yüklerinin istikrarlı gelişimi, SideWinder'ın öngörülebilir gelecekte saldırılarına devam edeceğini gösteriyor."

Açıklama, Rusya bağlantılı olduğundan şüphelenilen bir tehdit aktörünün, Office belgeleri kılığına girmiş Windows kısayol (LNK) dosyalarından başlatılan bir .NET yükleyici aracılığıyla teslim edilen Go tabanlı bir uzaktan erişim truva atı (RAT) ile Hindistan'ın siyasi işleriyle ilgilenen varlıkları hedef almasıyla geldi. Etkinliğin kod adı ShadowCat Operasyonu olarak belirlenmiştir.

Diğer haberlerimiz hakkında daha fazla bilgi için Twitter sayfamızı, Instagram sayfamızı ve LinkedIn sayfamızı takip etmeyi unutmayın.