UAT-9921 Yeni VoidLink Malware-i ilə Texnologiya və Maliyyə Sektorlarını Hədəfə Alır
13rose
3 min read
Yeni Təhdid Aktoru VoidLink Malware-i İşə Salır
Cisco Talos-un son hesabatına görə, əvvəllər naməlum olan və UAT-9921 kimi izlənilən təhdid aktoru, texnologiya və maliyyə xidmətləri sektorlarını hədəf alan kampaniyalarında VoidLink adlı yeni modulyar çərçivədən istifadə edir. Tədqiqatçıların qeydlərinə görə, bu təhdid aktoru 2019-cu ildən bəri fəaliyyətdə olsa da, VoidLink-i bütün fəaliyyəti boyunca istifadə etməyib. UAT-9921-in fəaliyyəti zamanı müəyyən edilmiş qurbanlar hədəf alınan sənayelərə uyğun gəlir və qrupun təmin etdiyi xidmətlərə aydın diqqət yetirdiyi müşahidə olunur.
VoidLink: Rust Dilində Yazılmış Tam Funksiyalı Backdoor
UAT-9921 operatorları əsasən gizliliyə və davamlılığa diqqət yetirir, xüsusi hazırlanmış VoidLink Malware-i bir backdoor kimi istifadə edirlər. Rust dilində yazılmış bu Malware, sərbəst əmrləri icra etmək, ekran görüntülərini çəkmək, faylları yükləmək və endirmək, hətta xüsusi uzaqdan giriş protokolu vasitəsilə təhlükəyə məruz qalmış sistemlərə uzaqdan nəzarət qurmaq üçün nəzərdə tutulub. Tədqiqatçılar VoidLink-in “təhlükəyə məruz qalmış mühitə əhəmiyyətli nəzarət və təsir göstərə bilən tam funksiyalı bir backdoor” olduğunu qeyd edirlər.
Hücum Zəncirləri və İstifadə Olunan Alətlər
Hücum zəncirləri, zərərli arxivləri (ZIP və ya ISO faylları) çatdırmaq üçün spear-phishing e-poçtlarından istifadəni əhatə edir. Bu arxivlər açıldıqda VBScript-i işə salır ki, bu da VoidLink yükləyicisini icra etməkdən məsuliyyət daşıyır. Qrupun həmçinin komanda-və-nəzarət (C2) rabitəsi üçün Ligolo reverse tunneling aləti və şəbəkə kəşfiyyatı üçün Netscan kimi vasitələrdən istifadə etdiyi görülür.
Kibertəhlükəsizlik Mənzərəsi: IceBreaker və BlueNoroff
Bu inkişaf, Kaspersky təhlükəsizlik tədqiqatçılarının korporativ şəbəkələri pozmaq və orada davamlılığı təmin etmək üçün istifadə olunan IceBreaker adlı yeni çoxplatformalı çərçivə haqqında məlumat verməsi ilə üst-üstə düşür. Şirkət hücumları, həmçinin APT38, Group 5 və Stardust Chollima kimi tanınan BlueNoroff (məşhur Şimali Koreya Lazarus Qrupunun alt qrupu) maliyyə motivli təhdid aktoruna aid edib.
Kaspersky tədqiqatçılarının bildirdiyinə görə, IceBreaker üçün ən ümumi ilkin infeksiya vektoru spear-phishing e-poçtları olaraq qalır, bəzən isə zərərli komponentlər üçün legitim proqram təminatının yükləyici kimi istifadəsi müşahidə olunur. Yeni zərərli çərçivə C2 trafik üçün maraqlı bir texnika, yəni təhlükəsiz TLS protokolu üzərindən WebSockets vasitəsilə rabitə istifadə edir. Bu, çərçivəyə firewall-ları asanlıqla aşmağa imkan verir.
BlueNoroff bankları və maliyyə təşkilatlarını, xüsusilə SWIFT sistem istifadəçilərini vəsait oğurlamaq üçün hədəf alması ilə tanınır. 2023-cü ilin sentyabr ayında ABŞ-ın Kiber Təhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyi (CISA) BlueNoroff-un blokçeyn, kriptovalyuta və maliyyə texnologiyaları sektorlarındakı təşkilatları hədəf almaq üçün Phishing kampaniyalarından istifadə etməsi barədə xəbərdarlıq edib.
