İran'ın demiryolu sistemine karşı son saldırılarda kullanılan Meteor adlı kötü amaçlı yazılımları silecek yeni bir dosya keşfedildi.
Bu ayın başlarında, İran'ın Nakliye Bakanlığı ve Ulusal Tren Sistemi, ajansın web sitelerinin tren hizmeti kapatmasını ve bozulmasına neden olan bir ciberattack geçirdi. Tehdit aktörleri ayrıca, trenlerin bir CyberAttack nedeniyle geciktiğini veya iptal edildiğini belirten Demiryolu'nun mesaj panolarında mesajlar sergiledi.
Bu mesajların bazıları, yolculara, daha fazla bilgi için bir telefon numarası aramasını söyledi, bu da yüce lider Ali Khamenei ofisi için.
Demiryolunu trolling ek olarak, tehdit aktörleri ağdaki Windows aygıtlarını, cihaza erişimi engelleyen bir kilit ekranı ile kilitledi.
Sentinelone'un yeni bir raporunda, Güvenlik Araştırmacısı Juan Andres Guerrero-Saade, İran'daki CyberAttack'ın Meteor adlı daha önce görünmeyen bir dosya silecekini kullandığını ortaya koydu.
Bir silecek, bilerek bir bilgisayardaki dosyaları silmen ve bunun önlenmesine neden olan kötü amaçlı yazılımdır.
Ransomware saldırılarının aksine, saldırganlar için gelir elde etmek için yıkıcı silecek saldırıları kullanılmaz. Bunun yerine, amaçları bir organizasyon için kaosa neden olmak ya da başka bir saldırı gerçekleşirken yöneticileri rahatsız etmektir.
İranlı Siber Güvenlik Firması Aman Pardaz daha önce silecekleri analiz ederken, Sentinelone saldırının daha net bir resmini sağlamak için ek eksik bileşenler bulabilir.
Sentinelone'un araştırmalarında, Guerrero-Saade'in araştırılması, "ÖZEL ÖZELLİKLERİN ÖZEL GÖRÜNTÜLERİNİ ÖZELLİKLERİN BAĞLANTISI ÇIKARMALARININ ÇIKARMASININ ÇIKARMASI BAŞLADI."
"Durdurulan trenlerin ve glib trollerinin bu dış mekanının arkasında, yabancı bir saldırganın parmak izlerini bulduk."
Saldırının kendisi 'meteorexpress' diyor ve bir sistemi silmek için, bir sistemi silmek, cihazın ana önyükleme kaydını (MBR) kilitlemek ve bir ekran dolabı yüklemek için bir toplu iş dosyası ve çalıştırılabilir bir araç seti kullanılır.
Saldırıyı başlatmak için, tehdit aktörleri 'HackaMall' şifresiyle korunan bir RAR arşivi çıkardı. Saldırganlar daha sonra bu dosyaları, İran Demiryolunun ağındaki bilgisayarların geri kalanında erişilebilen bir ağ paylaşımına ekledi.
Tehdit Oyuncusu daha sonra Windows Grup İlkeleri, çeşitli çalıştırılabilir dosyaları ve toplu iş dosyalarını yerel cihaza kopyalayacak ve bunları yürütecek bir Setup.bat toplu iş dosyasını başlatmak için yapılandırdı.
Bu işlemin bir parçası olarak, toplu iş dosyaları aşağıdaki adımlardan geçer:
Tamamlandığında, cihaz bağlantılı olacak, dosyası silinir ve bilgisayarın ilk kez yeniden başlatılmasından önce aşağıdaki duvar kağıdı arka planını görüntüleyen bir ekran dolabı yüklü olacaktır.
Sentinelone, 'nti.exe' MBR Locker'u bulamıyor olsa da, Aman Pardaz'tan gelen araştırmacılar, paylaşımların ünlü notpetya sileceği ile örtüştüğünü iddia ediyor.
Guerrero-Saade, "PADVSH Blog'taki bir ilginç iddiası, Guerrero-Saade", NTI.exe'nin nti.exe'nin yozlaştığı şeklinin, Guerrero-Saade'i açıkladı "dedi.
"Birinin ilk içgüdüsü, notpetya operatörlerinin katıldığını veya bunun sahte bir bayrak operasyonunda bir girişim olduğunu varsaymak olabilirken, Notpetya'nın MBR yutma planının çoğunlukla cezai işlemler için kullanılan orijinal Petya'dan geçtiğini hatırlamak önemlidir."
Başlangıçta bir fidye yazılımı saldırısı olduğu düşünülen Notpetya, NSA'nın ExtAlBlue Exploit ve Şifreleme Cihazları aracılığıyla maruz kalan ağlara yayılarak 2017 yılında dünya genelinde HAVOC'u kıran bir silecekiydi.
2020'de ABD, altı Rus Gru istihbarat operatörünün, notpetya saldırısı için "Sandworm" olarak bilinen seçkin Rus Hack Topluluğu'nun bir parçası olduğuna inanılıyor.
Şu anda, İran'ın demiryolu üzerindeki Meteor silecek saldırılarının nedeni açık değildir ve saldırılar herhangi bir gruba veya ülkeye atfedilmemiştir.
"Sisin karşısındaki bu rakipin şeklini henüz yapamayız. Belki de kaba bir paralı grup. Veya Sentinelone'un Raporu'nun bir bölgenin ortaya çıkan operatörlerine dayanmaya gelen dış eğitimin gizli etkileri" dedi.
"Şu anda, herhangi bir nitelik şekli saf spekülasyondur ve kazanılan ilgi alanları, araçları ve nedeni olan birden fazla ülke arasındaki azgın bir çatışmayı aşırı basitleştirmeye yöneliktir."
Microsoft: Rus hackerları, USAID phishinginde 4 yeni kötü amaçlı yazılım kullandı
PYPI paketleri Kredi kartı numaralarını çalmaktan yakalandı, belirteçler belirteçleri
Sahte Windows 11 yükleyiciler şimdi kötü amaçlı yazılım ile size enfekte etmek için kullanılır
Kaseya, Revil Ransomware Mağdurları için Evrensel Decryptor'u alır.
NPM Paketi Kurtarma aracı üzerinden Windows'ta Chrome şifrelerini çaldı
Kaynak: Bleeping Computer