Microsoft, 'Mint Sandstorm' olarak bilinen bir İranlı hack grubunun, İran'ın altyapısına son saldırılara misilleme olduğuna inanılan ABD kritik altyapısına siber saldırılar yürüttüğünü keşfetti.
Mint Sandstorm, İran hükümeti için çalıştığına ve İslam Devrim Muhafız Kolordusu'na (IRGC) bağlı olduğuna inanılan fosfor hack grubunun yeni adıdır.
Yeni bir raporda, Microsoft'un tehdit istihbarat ekibindeki araştırmacılar, 2022'de gözetim yapmaktan ABD kritik altyapısına doğrudan saldırılar gerçekleştirmeye geçtiğini açıklıyor.
Teori, bu müdahalelerin İran'ın ABD ve İsrail'e atfedilen altyapısına saldırılara misilleme olmasıdır. Bunlar, Haziran 2021'de İran'ın demiryolu sistemine yıkıcı saldırılar ve Ekim 2021'de İran gaz istasyonlarında kesintiye neden olan bir siber saldırıyı içeriyor.
Microsoft, İran hükümetinin saldırı yaparken devlet destekli tehdit aktörlerinin daha fazla özgürlük sağladığına inanıyor ve bu da siber saldırılarda genel bir artışa yol açıyor.
Microsoft, "Bu hedefleme, Microsoft'un Eylül 2021'de başlayarak gözlemlediği başka bir nane kum fırtınası alt grubu da dahil olmak üzere İran tehdit aktörlerine atfedilen siber saldırıların hızında daha geniş bir artış ve kapsamı ile çakıştı."
Diyerek şöyle devam etti: "İran tehdit aktörlerinin saldırganlığının artması, İran rejiminin yeni bir ulusal güvenlik aygıtı altında diğer hamlelerle ilişkili olduğu görülüyordu, bu da bu grupların faaliyetlerinde daha az sınırlı olduğunu gösteriyor."
Geçen yıl, Hazine Bakanlığı Dış Varlık Kontrolü (OFAC), faaliyetleri fosforla ilişkilendirilenlerle örtüşen İran'ın İslam Devrim Muhafız Kolordusu'na (IRGC) bağlı on kişiyi ve iki kuruluşu onayladı.
Microsoft, bu yeni Mint Sandstorm alt grubunun, yayınlandığı gün aynı gün Zoho Managemine POC kullanan bir saldırı gözlemlediğinden, genel olarak kavram kanıtı istismarlarını kullandığını söylüyor.
Bilinen güvenlik açıklarından yararlanmak için kod olan N-Day istismarlarına ek olarak, tehdit aktörleri, eşleştirilmemiş cihazları ihlal etmek için Log4shell gibi eski güvenlik açıklarını da kullandı.
Bir ağa eriştikten sonra, tehdit aktörleri, yüksek değerli olup olmadığını belirlemek için çevre hakkında bilgi toplamak için özel bir PowerShell komut dosyası başlatır.
Bilgisayar korsanları daha sonra iki saldırı zincirinden birini yürütürken ağa yanal olarak yayılmak için Impacket çerçevesini kullanırlar.
İlk saldırı zinciri, hedefin Windows Active Directory veritabanının çalınmasına yol açar, bu da kullanıcıların bilgisayar korsanlarına izinsiz giriş veya ağdaki algılamadan kaçınmasına yardımcı olabilecek kimlik bilgilerini elde etmek için kullanılabilir.
İkinci saldırı zinciri, Drokbk ve Soldier adlı özel arka kapı kötü amaçlı yazılımını dağıtmaktır; Her ikisi de tehlikeye atılan ağlarda kalıcılığı korumak ve ek yükler dağıtmak için kullanılır.
Microsoft, Drokbk (drokbk.exe) [Virustotal], bir yükleyici ve bir komut ve kontrol sunucusu adreslerinin bir listeyi, saldırgan kontrolündeki Github deposundaki bir ReadMe dosyasındaki komut ve kontrol sunucusu adreslerinin listesini alan bir .NET uygulaması olduğunu söylüyor.
Asker kötü amaçlı yazılım aynı zamanda ek yükleri indirip çalıştırabilen ve kendisini kaldırabilen bir .net arka kapısıdır. Drokbk gibi, bir GitHub deposundaki komut ve kontrol sunucularının bir listesini alır.
Microsoft'un ihlallerine istismar kullanmanın yanı sıra, saldırganların az sayıda hedeflenen kurbanlara karşı düşük hacimli kimlik avı saldırıları yürüttüğünü söyledi.
Bu kimlik avı saldırıları, Orta Doğu'daki güvenlik veya politika hakkında bilgi içerecek şekilde sahte PDF'lere ev sahipliği yapan OneDrive hesaplarına bağlantılar içeriyordu. Bu PDF'ler ayrıca, cihazda bir yükü yürütmek için şablon enjeksiyonunu kullanan kötü niyetli bir kelime şablonu için bağlantılar içerir.
Bu kimlik avı saldırıları, kalıcılık ve daha fazla komut yürütmek için Charmpower PowerShell Sömürme Sonrası Çerçevesini dağıtmak için kullanıldı.
Microsoft, "Bu nane kum fırtınası alt grubuna atfedilen müdahalelerde gözlenen yetenekler, operatörlerin C2 iletişimini gizlemelerine, tehlikeye atılan bir sistemde kalmasına ve değişen özelliklere sahip bir dizi ortaklık sonrası araçları dağıtmasına izin verdikleri için ilgilidir."
"Etkiler, operatörlerin giriş sonrası faaliyetlerine bağlı olarak değişse de, başlangıç erişim bile yetkisiz erişimi sağlayabilir ve bir ortamın gizliliğini, bütünlüğünü ve mevcudiyetini olumsuz etkileyebilecek daha fazla davranışı kolaylaştırabilir."
Microsoft, belirli kriterleri karşılamayan yürütülebilir ürünleri engellemek için saldırı yüzeyi azaltma kurallarını kullanmanızı önerir:
Tehdit aktörleri, kurumsal ağlara ilk erişim için güvenlik açıklarına büyük ölçüde güvendiğinden, Microsoft kuruluşların mümkün olan en kısa sürede güvenlik güncellemeleri uygulamasını önerir.
Tehdit aktörleri için bilinen hedefler oldukları için IBM Aspera Faspex, Zoho ManageEngine ve Apache Log4J2'nin yamalanmasına özellikle dikkat edilmelidir.
Microsoft Defender Güncellemesi Windows Donanım Yığın Koruma Karışıklıkına Neden Olur
Microsoft, Windows Canary Build'da varsayılan olarak LSA korumasını sağlar
Rusya, NATO'yu 2022'den beri 5.000 siber saldırı başlatmakla suçluyor
Microsoft: Windows Laps, eski politikalarla uyumsuz
Windows 11 yeni bir 'varlık algılama' gizlilik ayarı alıyor
Kaynak: Bleeping Computer