Güvenlik araştırmacıları, Hacker'ların Astaroth, Mekotio ve Ousaban gibi büyük miktarda bankacılık truva atlarını dağıtmak için Google Cloud Run hizmetini kötüye kullanma konusunda uyarıyorlar.
Google Cloud Run, kullanıcıların bir altyapı veya ölçeklendirme çabası olmadan ön uç ve arka uç hizmetleri, web siteleri veya uygulamaları dağıtmasına, iş yüklerini kullanmasına izin verir.
Cisco Talos araştırmacıları, Brezilyalı aktörlerin kötü amaçlı yazılım yüklerini dağıtmak için MSI yükleyici dosyalarını kullanarak kampanyalar başlattığı Eylül 2023'ten itibaren Google’ın kötü amaçlı yazılım dağıtım hizmetinin kötüye kullanılmasında büyük bir artış gözlemlediler.
Araştırmacıların raporu, Google Cloud Run'ın son zamanlarda maliyet etkinliği ve standart güvenlik bloklarını ve filtrelerini atlama yeteneği nedeniyle siber suçlular için cazip hale geldiğini belirtiyor.
Saldırılar, faturalar, finansal tablolar veya yerel yönetim ve vergi ajanslarından gelen mesajlar için meşru iletişim olarak görünmek üzere hazırlanmış potansiyel kurbanlara kimlik avı e -postaları ile başlar.
Araştırmacılar, kampanyadaki çoğu e -postanın Latin Amerika'daki ülkeleri hedefledikleri için İspanyolca olduğunu, ancak kullanılan dilin İtalyan olduğu durumlar da olduğunu söylüyor.
E -postalar, Google Cloud Run'da barındırılan kötü amaçlı web hizmetlerine yönlendiren bağlantılarla birlikte gelir.
Bazı durumlarda, yük teslimatı MSI dosyaları üzerinden yapılır. Diğer örneklerde, Hizmet 302 bir Google Cloud depolama konumuna yönlendirilir; burada kötü niyetli bir MSI dosyasına sahip bir fermuar arşivi saklanır.
Mağdur kötü amaçlı MSI dosyalarını yürüttüğünde, yeni bileşenler ve yükler sistemde indirilir ve yürütülür.
Gözlenen vakalarda, ikinci aşama yük dağıtım, meşru pencereler 'Bitsadmin' aracı kötüye kullanılarak yapılır.
Son olarak, kötü amaçlı yazılım, başlangıç klasörüne LNK dosyaları (‘Sysupdates.setup.lnk’) ekleyerek yeniden başlatmalardan kurtulmak için kurbanın sisteminde kalıcılık oluşturur.
Google Cloud Run'ı kötüye kullanan kampanyalar üç bankacılık truva atı içeriyor: Astaroth/Guildma, Mekotio ve Ousaban. Her biri, sistemleri gizli bir şekilde sızmak, kalıcılık oluşturmak ve bankacılık hesaplarını devralmak için kullanılabilecek hassas finansal verileri yaymak için tasarlanmıştır.
Astaroth gelişmiş kaçaklama teknikleriyle birlikte gelir. Başlangıçta Brezilyalı kurbanlara odaklandı, ancak şimdi Latin Amerika'daki 15 ülkede 300'den fazla finansal kurumu hedefliyor. Son zamanlarda, kötü amaçlı yazılım kripto para birimi değişim hizmetleri için kimlik bilgileri toplamaya başladı.
Anahtarlama, ekran yakalama ve pano izleme kullanan Astaroth, sadece hassas verileri çalmakla kalmaz, aynı zamanda bankacılık kimlik bilgilerini yakalamak için internet trafiğini keser ve manipüle eder.
Mekotio da birkaç yıldır aktiftir ve Latin Amerika bölgesine odaklanmaktadır.
Bankacılık kimlik bilgileri, kişisel bilgiler ve hileli işlemler yapmakla bilinir. Ayrıca web tarayıcılarını kullanıcıları kimlik avı sitelerine yönlendirecek şekilde manipüle edebilir.
Son olarak, Ousaban, sahte (klonlanmış) bankacılık portallarını kullanarak bankacılık kimlik bilgileri için anahtarlama, ekran görüntüleri yakalama ve kimlik avı yapabilen bir bankacılık truva atıdır.
Cisco Talos, Ousaban'ın Astaroth enfeksiyon zincirinin daha sonraki bir aşamasında teslim edildiğini ve iki kötü amaçlı yazılım ailesinin operatörleri veya her ikisini de yöneten tek bir tehdit oyuncusu arasında potansiyel bir işbirliğini gösterdiğini belirtiyor.
Şirketin bu tehdide karşı koymak için ne yapmayı planladığı hakkında ayrıntılar için Google'a ulaştık ve bir sözcü aşağıdaki yorumu gönderdi:
Araştırmacının bulut RUN'un kullanıcılarının kullanıcılarına kötü niyetli içeriğe yönlendirme kullanımını tanımlama ve bildirme çalışmalarını takdir ediyoruz.
Rahatsız edici bağlantıları kaldırdık ve bu tür hain aktiviteyi önlemeye yardımcı olmak için hafifletme çabalarımızı güçlendirmeye çalışıyoruz.
Güncelleme 2/22 - Google Yorumu eklendi
Anatsa Android kötü amaçlı yazılım Google Play aracılığıyla 150.000 kez indirildi
Yeni 'Gold Pickaxe' Android, iOS kötü amaçlı yazılım sahtekarlık için yüzünüzü çalıyor
Yeni QBOT kötü amaçlı yazılım varyantı, kaçış için sahte Adobe yükleyici açılır penceresini kullanır
Devam Eden Microsoft Azure Hesabı Kaçırma Kampanyası Yöneticileri
Microsoft Teams Kimlik avı Darkgate kötü amaçlı yazılımları grup sohbetleri yoluyla iter
Kaynak: Bleeping Computer