Image: Artem Kovalev
Yeni Kötü Amaçlı Yazılım Dubbed Cyclops Blink, Rus destekli Sandworm Hacking Grubu'na, bugün ABD ve İngiltere Siber Güvenlik ve Kolluk kuvvetleri tarafından yayınlanan ortak bir güvenlik danışmanlığında.
Sandworm operatörleri tarafından en azından Haziran 2019'dan bu yana bir Botnet oluşturması için kullanılan kötü amaçlı yazılım, WatchGuard Firebox'ı ve diğer küçük ofis / ev ofisi (SOHO) ağ cihazlarını hedefler.
Birleşik Krallık Ulusal Siber Güvenlik Merkezi, "Malware Dubbed Cyclops'un yanıp sönmesi, VPNfilter kötü amaçlı yazılımın 2018'de ortaya çıkan VPNfilter kötü amaçlı yazılımın yerine getirdiği görülmektedir ve Dağıtımı, Sandworm'un SandWorm'un ağlara uzaktan erişmesine izin verebilir" dedi.
"VPNFilter ile ortak olarak, Cyclops yanıp söndürme dağıtımı da ayrımsız ve yaygın görünüyor" dedi.
"Aktör şimdiye kadar öncelikle siklopları izlemek için yanıp söndü, ancak Sandworm'un kötü amaçlı yazılımları diğer mimariler ve ürün yazılımı için derleyebilmesi muhtemeldir."
WatchGuard bugün kendi danışmanını yayınladı, siklopların yanıp sönmesi, ağırlıklı olarak işletme müşterileri tarafından kullanılan cihazlar olan tüm aktif WatchGuard Firewall aletlerinin yaklaşık% 1'ini etkilemiş olabilir.
NCSC, FBI, CISA ve NSA analizine göre, kötü amaçlı yazılımlar ayrıca, komut ve kontrol sunucusuna, cihaz bilgilerini toplamak ve söndürmek ve kötü amaçlı yazılımları güncellemek için dosyaları yüklemek / indirmek için özel olarak geliştirilmiş modüllerle birlikte gelir.
Kötü amaçlı yazılım, virüslü cihazların meşru ürün yazılımı güncelleme kanallarını, kötü amaçlı kodları enjekte ederek ve yeniden paketlenmiş ürün yazılımı görüntülerini dağıtarak erişimi sağlamak için kullanır.
"Cyclops yanıp sönüyor Yeniden başlatmaya devam ediyor ve meşru ürün yazılımı güncelleme işlemi boyunca.
"Watchguard, FBI, CISA ve NCSC ile yakından çalıştı ve standart dışı bir yükseltme işlemi ile WatchGuard cihazlarında siklopların yanıp sönmesini ve sökülmesini sağlamak için takım ve rehberlik sağladı."
Enfekte olmuş cihazlardaki tüm hesaplar, tehlikeye atılmış ve organizasyonlar, etkilenen ağ cihazlarının yönetim arayüzüne internet erişimi derhal kaldırması gerektiği varsayılmalıdır.
SANDWORM (VOODOO Ayı, Blackenergy ve Telebotlar olarak da izlenir), 2000'lerin ortalarından bu yana Elite Rus sponsorlu bir CyberSpionage grubudur.
Üyelerinin, Rus GRU'nun Özel Teknolojiler (GTSST) ana merkezinin 74455 biriminin askeri hackerları olduğuna inanılmaktadır.
Bu hacking grubu, 2015 ve 2016'nın Ukraynalı karartmaların arkasındaki Blackenergy kötü amaçlı yazılımıyla [1, 2, 3] ve Ukrayna bankalarını hedef alan KillDisk Silecek saldırılarının yanı sıra.
SANDWorm, Haziran 2017'den başlayarak dünya çapındaki şirketlere tahmini bir milyarlarca zarar verecek olan Notpetya Ransomware'in arkasında.
2020 Ekim ayında, ABD Adalet Bakanlığı, PyeongChang 2018 Kış Olimpiyatları, 2017 Fransız seçimleri ve Notpetya Ransomware saldırısı ile ilgili faaliyetleri kesmek için altı sandworm operatifini suçladı.
Grup ayrıca, Fransız Ulusal Siber Güvenlik Ajansı, Fransız şirketlerinin ağlarına karşı Centreon tedarik zinciri saldırısına ve Şubat 2021'de birden fazla Fransız BT sağlayıcısının ihlal edilmesine yönelik ANSSI ile bağlantılı oldu.
Sandworm'un Cyclops ile ilgili ek bilgiler BLINK Malware, Uzlaşma ve YARA kuralları ve imzaları dahil, NCSC'nin kötü amaçlı yazılım analiz raporunun [PDF] sonunda mevcuttur.
Güncelleme 23 Şubat 11:20 EST: WatchGuard tarafından sağlanan rehber hakkında bilgi eklendi.
Güncelleme 23 Şubat 14:15 EST: Watchguard Danışma ile bağlantılı.
ABD ve İngiltere, çamurlu su hackerları tarafından kullanılan yeni kötü amaçlı yazılımları ortaya koyuyor
Beyaz Saray Pimleri Ukrayna Ddos Rus Gru Hacker'larına Saldırılar
Savunma müteahhitleri Stealthy SockdeBour pencerelerinin arka kapıdan çarptı
Yeni Golang Botnet, Windows kullanıcılarının Cryptocurrency cüzdanlarını boşalttı
ABD, Rus devlet bilgisayar korsanlarının savunma müteahhitlerini ihlal ettiğini söylüyor
Kaynak: Bleeping Computer