Bumblebee kötü amaçlı yazılım yükleyicisi, Europol'un Mayıs ayında 'Operasyon Oyunu' sırasında bozulmasından dört aydan fazla bir süre sonra yeni saldırılarda tespit edildi.
Trickbot geliştiricilerinin yaratılması olduğuna inanılan kötü amaçlı yazılım, fidye yazılımı tehdit aktörlerinin kurban ağlarına erişimini sağlamak için Bazarloader arka kapısının yerine 2022'de ortaya çıktı.
Bumblebee tipik olarak çeşitli yazılımları (örn. Zooom, Cisco AnyConnect, Chatgpt ve Citrix çalışma alanı) teşvik eden kimlik avı, kötü niyetli ve SEO zehirlenmesi yoluyla enfeksiyon elde eder.
Bumblebee tarafından genellikle verilen yükler arasında kobalt grev işaretleri, bilgi çalan kötü amaçlı yazılımlar ve çeşitli fidye yazılımı suşları bulunmaktadır.
Mayıs ayında, uluslararası bir kolluk operasyonu 'Operasyon Endgame' adlı kod adlandırdı.
O zamandan beri Bumblebee sessizleşti. Bununla birlikte, siber güvenlik şirketi Netskope'deki araştırmacılar, yeniden yazılımlara bağlı yeni Bumblebee faaliyeti gözlemlediler ve bu da yeniden canlandırılabilecek.
En son Bumblebee saldırı zinciri, kurbanı kötü niyetli bir fermuar arşivi indirmeye çeken bir kimlik avı e -postasıyla başlar.
Sıkıştırılmış dosya, PowerShell'i meşru bir NVIDIA sürücüsü güncellemesi veya uzak bir sunucudan gizlenen kötü niyetli bir .msi dosyası (Y.MSI) indirmesini tetikleyen .lnk kısayolu içerir.
MSI dosyası daha sonra /qn seçeneği ile msiexec.exe kullanılarak sessizce yürütülür, bu da işlemin herhangi bir kullanıcı etkileşimi olmadan çalışmasını sağlar.
Daha gürültülü olan yeni süreçlerin ortaya çıkmasını önlemek için, kötü amaçlı yazılım, MSI yapısında MSIExec.exe'ye DLL'yi kendi adres alanına yüklemesini ve DLLRegisterserver işlevini çağırmasını talimat veren SelfREG tablosunu kullanır.
DLL yüklendikten ve yürütüldükten sonra, kötü amaçlı yazılım açma işlemi başlar ve bumblebee'nin bellekte konuşlandırılmasına yol açar.
Netskope, Bumblebee yükünün imzalı dahili DLL ve dışa aktarılan işlevler adlandırma şemasının yanı sıra geçmiş varyantlarda görülen konfigürasyon çıkarma mekanizmalarını taşıdığını söylüyor.
En son saldırılarda yapılandırmasını çözen RC4 anahtarı "new_black" dizesini kullanırken, "MSI" ve "LNK001" olmak üzere iki kampanya kimliği vardır.
Netskope, Bumblebee'nin düştüğü veya kampanyanın ölçeğine sahip yükler hakkında herhangi bir bilgi vermedi, ancak rapor, olası bir yeniden canlanmanın erken belirtilerinin bir uyarı görevi görüyor.
Uzlaşma göstergelerinin tam listeleri bu GitHub deposunda mevcuttur.
ESET ortağı İsrail Orgs'a veri silecekleri göndermek için ihlal etti
Akıllı yazılımları zorlamak için depoları kötüye kullanan zeki 'GitHub Scanner' kampanyası
Yeni Voldemort kötü amaçlı yazılım, çalıntı verileri depolamak için Google sayfalarını kötüye kullanıyor
Microsoft, phisher'ları bal perdelerine çekmek için sahte Azure kiracıları yaratır
Sahte Google Buluşma Konferansı Hataları İthalat Efsanesi Kötü Yazılım
Kaynak: Bleeping Computer