Yeni bir kimlik avı kampanyası, Microsoft Teams mesajlarını Darkgate Loader kötü amaçlı yazılımları yükleyen kötü amaçlı ekler göndermek için kötüye kullanıyor.
Kampanya, Ağustos 2023'ün sonlarında, Microsoft Teams'in kimlik avı mesajlarının diğer kuruluşlara tehlikeye atılmış iki harici ofis 365 hesabı tarafından gönderildiği görüldüğü zaman başladı.
Bu hesaplar, diğer Microsoft Teams kullanıcılarını "Tatil Çizelgesinde Değişiklikler" adlı bir ZIP dosyasını indirmek ve açmak için kandırmak için kullanıldı.
Ekine tıklamak, bir SharePoint URL'sinden ZIP'in indirilmesini tetikler ve bir PDF belgesi olarak maskelenen bir LNK dosyası içerir.
Truesec'teki araştırmacılar, Microsoft Teams Kimlik avı kampanyasını analiz ettiler ve Darkgate yükleyici olarak tanımlanan bir yüke yol açan enfeksiyon zincirini tetikleyen kötü amaçlı VBScript içerdiğini buldu.
Algılamayı denemek ve kaçınmak için indirme işlemi, kötü amaçlı yazılımın yürütülebilir ve komut dosyalarını almak için Windows Curl'u kullanır.
Komut dosyası önceden derlendi, kötü amaçlı kodunu dosyanın ortasında gizleyerek, otomatik komut dosyalarıyla ilişkili ayırt edilebilir "sihir baytları" ile başlayarak.
Daha fazla ilerlemeden önce, komut dosyası hedeflenen makineye Sophos Antivirus yazılımı yüklenip yüklenmediğini kontrol eder ve değilse, ek kodu bozar ve kabuk kodunu başlatır.
Shellcode, Darkgate Windows yürütülebilir dosyasını oluşturmak ve belleğe yüklemek için "yığılmış dizeler" adlı bir teknik kullanır.
Truesec ve Deutsche Telekom sertifikası tarafından görülen kampanya, kötü niyetli ekleri diğer ekip kuruluşlarına göndermek için uzlaşmış Microsoft Teams hesaplarını kullanıyor.
Microsoft Teams Phing, daha önce Haziran 2023 tarihli bir raporda, kimlik avı ve sosyal mühendislik yoluyla diğer kuruluşlara kötü niyetli mesajlar göndermenin bir yolunu keşfeden bir raporda gösterilmişti.
Bu keşfin neden olduğu heyecana rağmen, Microsoft riski ele almamaya karar verdi. Bunun yerine, yöneticilerin harici kiracılarla iletişim gerekmiyorsa, Dar-Taşıyan İzin Listeleri gibi güvenli yapılandırmalar uygulamasını ve harici erişimi devre dışı bırakmasını önermek.
Temmuz 2023'te piyasaya sürülen bir Red Teamer'ın bu Microsoft Teams kimlik avı saldırısını düzene koyduğu bir araç, vahşi doğada istismar etme olasılığını daha da artırdı.
Bununla birlikte, bu yöntemin yakın zamanda gözlemlenen kampanyanın saldırı zincirinde yer aldığına dair bir gösterge yoktur.
Darkgate, 2017'den beri dolaşıyor ve onu çok özel hedeflere karşı kullanan küçük bir siber suçlu çemberinin sınırlı kullanımı görüyor.
Uzaktan erişim, kripto para madenciliği, ters kabuk, anahtarlama, pano çalma ve bilgi çalma (dosyalar, tarayıcı verileri) için HVNC dahil olmak üzere çok çeşitli kötü amaçlı etkinlikleri destekleyen güçlü bir kötü amaçlı yazılımdır.
Haziran 2023'te Zerofox, Darkgate'in orijinal yazarı olduğunu iddia eden birinin, yılda 100 bin dolarlık bir maliyet için kötü amaçlı yazılımlara on kişiye erişim satmaya çalıştığını bildirdi.
Sonraki aylarda, Darkgate dağıtımının artması ve kimlik avı ve kötü niyetli de dahil olmak üzere çeşitli kanalların kullanılması hakkında birden fazla rapor olmuştur.
Darkgate henüz yaygın bir tehdit olmasa da, çoklu enfeksiyon yollarının hedeflenmesi ve benimsenmesi, yakından izlemek için ortaya çıkan bir tehdit haline getiriyor.
Facebook Messenger Kimlik Avı Dalgası Haftada 100 bin İşletme Hesapları
Hacker, yüksek değerli hedefler bulmak için yeni 'ekran görüntüsü' kötü amaçlı yazılım geliştirir
Bilgisayar korsanları saldırılarda açık kaynaklı Merlin Sıkıştırma Araç Seti'ni kullanır
Rus hackerlar Microsoft Teams Kimlik Yardım Saldırılarında Govt Orgs hedef
Microsoft, yeni özelliklerle Windows 11 kimlik avı korumasını geliştirir
Kaynak: Bleeping Computer