Blackcat Ransomware Group (diğer adıyla ALPHV), Windows için WINSCP dosya-transfer uygulamasının resmi web sitesini taklit eden ancak bunun yerine kötü amaçlı yazılım yükleyicilerini iten sahte sayfalara çekmek için malverizasyon kampanyaları yürütüyor.
WINSCP (Windows Secure Copy) popüler bir ücretsiz ve açık kaynaklı SFTP, FTP, S3, SCP istemcisi ve SSH dosya aktarım özelliklerine sahip Dosya Yöneticisi, sadece SourceForge'da haftalık 400.000 indirme ile.
Blackcat, programı, değerli şirket ağlarına ilk erişim için sistem yöneticilerinin, web yöneticilerinin ve BT uzmanlarının bilgisayarlarını potansiyel olarak enfekte etmek için bir cazibe olarak kullanıyor.
Daha önce bilinmeyen bu ALPHV fidye yazılımı enfeksiyon vektörü, hem Google hem de Bing arama sayfalarında sahte sayfaları tanıtan reklam kampanyalarını tespit eden Trend Micro'daki analistler tarafından keşfedildi.
Trend Micro tarafından gözlemlenen Blackcat saldırısı, kurbanın Bing veya Google'da "Winscp İndir" arayışı ile başlar ve kötü niyetli sonuçların tanıtılması Güvenli WINSCP indirme sitelerinin üzerinde sıralanır.
Mağdurlar bu reklamlara tıklayın ve WINSCP kullanarak otomatik dosya transferleri gerçekleştirme konusunda eğitimleri barındıran bir web sitesini ziyaret ediyor.
Bu siteler kötü niyetli bir şey içermez, Google'ın istismar karşıtı tarayıcılar tarafından algılamadan kaçınabilir, ancak ziyaretçileri bir indirme düğmesi içeren WINSCP resmi web sitesinin bir klonuna yönlendirir. Bu klonlar, yardımcı program için gerçek winscp.net etki alanına benzer alan adlarını kullanır, örneğin winsccp [.] Com.
Mağdur düğmeyi tıklar ve "setup.exe" ve "msi.dll" içeren bir ISO dosyası alır, birincisi kullanıcının başlatılması için cazibe ve ikincisi yürütülebilir dosyanın tetiklediği kötü amaçlı yazılım damlasıdır.
Trend Micro Raporu, "Setup.exe yürütüldüğünde, daha sonra DLL RCData bölümünden bir Python klasörünü WINSCP'nin makineye yüklenmesi için gerçek bir yükleyici olarak çıkaracak MSI.DLL'yi arayacaktır."
Bu işlem aynı zamanda bir truva atı python310.dll kurar ve "Python" adlı bir çalışma anahtarı yaparak bir kalıcılık mekanizması oluşturur ve "C: \ Users \ public \ Music \ Python \ pythonw.exe" değeri.
Yürütülebilir Pythonw.exe, bir komut ve kontrol sunucusu adresine bağlanan bir kobalt grev işaretini içeren değiştirilmiş bir python310.dll yükler.
Sistemde çalışan kobalt grevine sahip olmak, ek komut dosyaları yürütmek, yanal hareket için araçlar getirmek ve genellikle uzlaşmayı derinleştirmek kolaydır.
Trend Micro'nun analistleri, ALPHV operatörlerinin sonraki aşamalarda aşağıdaki araçları kullandıklarını fark etti:
Yukarıdaki araçların yanı sıra ALPHV, Rusça konuşan hack forumlarında tehdit aktörleri tarafından 3.000 $ 'a kadar satılan bir EDR ve antivirüs devre dışı bırakıcısı olan "Terminator" adlı "Terminator" da kullandı.
CrowdStrike tarafından yapılan son araştırmalar, "Terminator" ın, sistem üzerindeki ayrıcalıkları artırmak ve bunları devre dışı bırakmak için bir "kendi savunmasız sürücünüzü getir" (BYOVD) mekanizmasını kullanarak birkaç Windows güvenlik araçlarını atlayabildiğini doğruladı.
Trend Micro, yukarıdaki TTP'leri doğrulanmış ALPHV fidye yazılımı enfeksiyonlarına bağladığını söylüyor. Ayrıca, araştırılan C2 alanlarından birinde bir klop fidye yazılımı dosyası buldu, bu nedenle tehdit oyuncusu birden fazla fidye yazılımı işlemine bağlı olabilir.
Fidye Yazılımında Hafta - 9 Haziran 2023 - Bu Clop ... Yine!
Blackcat Fidye Yazılımı Avustralya Ticaret Hukuku Devi'yi zorla etkilemiyor
Fidye Yazılımında Hafta - 2 Haziran 2023 - Whodunit?
Blackcat fidye yazılımı saldırılarında kullanılan kötü niyetli pencereler çekirdek sürücüleri
Ransomware'de Hafta - 23 Haziran 2023 - Reddit Dosyaları
Kaynak: Bleeping Computer