Tehdit aktörleri, Sarwent adında daha az bilinen bir uzaktan erişim aracını düşürmek için Afriesty International'ın Pegasus Casus Yazılımları'ndaki son vahiylerden faydalanmaya çalışıyor.
Kötü amaçlı yazılım, sistemi Pegasus izlerinin izleri için sistemi taramak için özel olarak oluşturulan meşru bir antivirüs çözeltisinin bir kısmını görünür ve hareket eder ve bunları çıkarın.
Sarwent tabanlı saldırılar, yılın en azından yılın başından beri, Ocak ayında, çeşitli ülkelerde çeşitli kurban profillerini hedeflemiştir.
Geçmiş kampanyalarda kullanılan cazibeler şu anda açık değildir, ancak Cisco Talos'taki araştırmacılar yakın zamanda Sarwent'in sahte bir Uluslararası Uluslararası Web Sitesi Reklamı Anti-Pegasus AV ile teslim edildiği yeni bir saldırı gördü.
Tehdit oyuncusu, kötü amaçlı yazılımın uygun bir grafiksel kullanıcı arayüzü tarafından oluşturulan tarafından meşru bir antivirüs gibi görünmesini sağlamak için çaba sarfetti.
Bu kılık değiştirmeyi seçmek, aktörün Cihazlarını bulaşan Pegasus casus yazılımları hakkında endişeli kullanıcıları kandırmaya çalıştığını gösterir.
Aktörün ziyaretçileri Sahte Af Örgütü Uluslararası web sitesine nasıl geçirdiği belli değil, ancak bu kampanyadaki alanların bir analizi, "büyük ölçekli bir kampanyanın herhangi bir göstergesi olmasa da, ilk alanların dünya çapında erişildiğini gösteriyor."
"C2 [Komuta ve Kontrol] alanlarına bakıldığında 'hacim, daha da dar bir dağıtım ülkesi, daha düşük bir hacimli," bir raporda bugün bir raporda görebiliriz.
Soruşturma sırasında aktif olan bir SARWENT komutu ve kontrol (C2) sunucusunun yönetim panelinden verilere dayanarak, kötü amaçlı yazılım çoğunlukla U.K'teki kullanıcılara ulaştı.
Araştırmacılar, Rus konuşan bir kişinin son Sarwent saldırılarından sorumlu olduğu konusunda yüksek güvenle değerlendirirler. Ayrıca, 2014'ten bu yana, kötü amaçlı yazılımın başlangıçta düşünülenden çok daha yaşlı olduğunu ya da farklı bir aktörün daha önce kullandığını gösteren benzer bir arka tarafı da buldular.
Sarwent Delphi'de yazılmıştır ve vahşi doğada sık görülen bir karşılaşma değildir. Tipik olarak bir uzaktan erişim aracında (sıçan) görülen fonksiyonlar, operatörüne virüslü makineye erişimini sağlar.
Uzak Masaüstü Protokolünü (RDP) veya Sanal Ağ Bilgisayar (VNC) sistemi üzerinden etkinleştirerek makineye doğrudan erişim sağlar. Bununla birlikte, diğer yöntemler kabuğu ve PowerShell yürütme yetenekleri aracılığıyla mevcuttur.
Cisco Talos araştırmacıları, grafiksel kullanıcı arayüzünün bir antivirüs çözeltisine giren grafiksel kullanıcı arayüzünün, arkasındaki tehdit aktörünün kötü amaçlı yazılım kaynak koduna erişimi olduğunu gösteriyor.
"Bu aşinalık seviyesi ayrıca, aktörün 2014 yılının başından beri Sarwent kötü amaçlı yazılımını kullandığı öğrenmemizi de destekliyor. Bu erişim özellikle bu kötü amaçlı yazılım için erişim veya inşaatçılar satan birini bulamadığımız için ilginçtir" - Cisco Talos
Af Örgütü Uluslararası Web Sitesi için sahte kopyalar yaratmanın yanı sıra, Sarwent'in operatörü ayrıca, organizasyonu taklit etmek için aşağıdaki alanları da kaydetti:
Toplanan kanıtlara dayanarak, araştırmacılar Sarwent tehdit aktörünü sınıflandıramazlar. Yüzeyde, kolay para arayan biri gibi görünüyorlar
Bununla birlikte, bulguların bazıları finansal bir motivasyona sahip olmayan daha gelişmiş bir rakip önermektedir. Bu teoriyi destekleyen ipuçları arasında düşük mağdur sayısı ve kampanyadaki kişiselleştirme seviyesidir.
Diğer bir ipucu, kötü amaçlı yazılımın operatörü için görünen etki alanı kaydı detaylarını (ad, e-posta adresleri, posta adresleri) anlamına gelir. Bu bilgiyi mevcut hale getirmek, araştırmacıları karıştırmak için bir girişimde kasıtlı olabilir.
Modern Siber Koruma: Dijital, Ev Kullanıcıları İçin Olması Gerekenler
Apple, NSO iphone casus yazılımını dağıtmak için kullanılan IOS sıfır günü düzeltti
NSO casus yazılımını dağıtmak için kullanılan yeni sıfırla iPhone desteği
Pegasus iPhone Hacks Güçlendirme Şeması'nda Lure olarak kullanılır
Kaynak: Bleeping Computer