Brezilyalı bir hack grubu, 2021'den beri 'Magalenha Operasyonu' adlı kötü niyetli bir kampanyada otuz Portekiz hükümeti ve özel finans kurumlarını hedefliyor.
Hedeflenen varlıklara örnek olarak ActiveObank, Caixa Genel Defidits, Caixabank, Citibanamex, Santander, Millennium BCP, ING, Banco BPI ve Novobanco bulunmaktadır.
Bu kampanya, tehdit oyuncusu tarafından kullanılan araçları, çeşitli enfeksiyon vektörlerini ve kötü amaçlı yazılım dağıtım yöntemlerini vurgulayan bir Sentinel Labs raporu tarafından ortaya çıktı.
Analistler, dosyaları, dizinleri, dahili yazışmaları ve daha fazlasını ortaya çıkaran bir sunucu yanlış yapılandırması sayesinde tehdit oyuncunun köken ve taktikleri hakkında ayrıntıları ortaya çıkardılar.
Saldırganlar, kötü amaçlı yazılımlarını hedeflere dağıtmak için birçok yöntem kullanıyor; bu kuruluşları taklit eden Energias de Portugal (EDP) ve Portekiz Vergi ve Gümrük Otoritesi (AT), sosyal mühendislik ve kötü amaçlı web sitelerinden geliyormuş gibi Portekiz Vergi ve Gümrük Otoritesi (AT).
Her durumda, enfeksiyon, bir kötü amaçlı yazılım yükleyicisini getiren ve yürüten gizlenmiş bir VB komut dosyasının yürütülmesi ile başlar, bu da beş saniyelik bir gecikmenin ardından kurbanın sistemine 'peepingTitle' arka kapısının iki çeşidini yükler.
Rapordaki Sentinel Labs, "VB komut dosyaları, kötü amaçlı kod, genellikle halka açık kod depolarının içeriği yapıştırılmış büyük miktarlarda kod yorumları arasında dağılacak şekilde gizleniyor."
"Bu, statik algılama mekanizmalarından kaçınmak için basit ama etkili bir tekniktir - Virustotal özelliğinde nispeten düşük algılama oranlarında bulunan komut dosyaları."
Analistler, bu senaryoların amacının, kötü amaçlı yazılım indirilirken kullanıcıları dikkat dağıtmak ve EDP'lerini ve kimlik bilgilerini karşılık gelen sahte portallara yönlendirerek çalmak olduğunu açıklar.
PeepingTitle, Sentinel Labs'ın tek bir kişi veya ekip tarafından geliştirildiğine inandığı Nisan 2023 derleme tarihine sahip Delphi tarafından yazılmış bir kötü amaçlı yazılımdır.
Saldırganların iki varyant bırakmasının nedeni, kurbanın ekranını yakalamak için, ikincisini pencereleri ve kullanıcının bunlarla etkileşimlerini izlemek için kullanmaktır.
Ayrıca, ikinci varyant kurban makinesini kaydettikten ve saldırganlara keşif detayları gönderdikten sonra ek yükler getirebilir.
Kötü amaçlı yazılım, sert kodlanmış finansal kurumların bir listesine uyan pencereleri kontrol eder ve birini bulduğunda, tüm kullanıcı girişini (kimlik bilgileri dahil) günlüğe kaydeder ve tehdit aktörünün C2 sunucusuna gönderir.
PeepingTitle ayrıca ekran görüntülerini yakalayabilir, ana bilgisayardaki işlemleri sonlandırabilir, izleme aralığı yapılandırmasını anında değiştirebilir ve Windows Rundll32'yi kullanarak yürütülebilir ürünlerden veya DLL dosyalarından yüklemeleri aşamalı olarak değiştirebilir.
Sentinel Labs, tehdit aktörlerinin Magalenha Operasyonunun başlangıcından bu yana operasyonel engellerin üstesinden gelme yeteneğini gösterdiği birkaç vakayı fark etti.
2012 ortalarında, grup C2 için dijitalokan alanlarını kötüye kullanma ve kötü amaçlı yazılım barındırma ve dağıtımından geçti ve Rusya merkezli TimeWeb gibi daha belirsiz bulut servis sağlayıcıları kullanmaya başladı.
Analistler, bu hareketin Digitalocean'ın tespit edilmesinden kaynaklandığına inanıyorlar.
Yeni PowerExchange Kötü Yazılım Backroors Microsoft Exchange Sunucuları
Siber suçlu çetesi, kötü amaçlı yazılımlarla milyonlarca Android cihazını önceden enfekte ediyor
Linux Bpfdoor kötü amaçlı yazılımın daha kapsamlı versiyonu,
Yeni Android Fluhorse kötü amaçlı yazılım şifrelerinizi çalıyor, 2FA Kodları
Ex-Conti üyeleri ve Fin7 Devs yeni Domino kötü amaçlı yazılımları zorlamak için bir araya geliyor
Kaynak: Bleeping Computer