Rus siber-ihale grubu Turla, yani "Secret Blizzard", Starlink aracılığıyla bağlantılı Ukrayna askeri cihazlarını hedeflemek için diğer tehdit aktörlerinin altyapısını kullanıyor.
Microsoft ve Lumen kısa bir süre önce Rusya'nın Federal Güvenlik Servisi'ne (FSB) bağlantılı olan ulus-devlet aktörünün Pakistan tehdit oyuncusu Storm-0156'nın kötü amaçlı yazılımlarını ve sunucularını nasıl kullandığını ve kullandığını ortaya koydu.
Microsoft bugün Mart ve Nisan 2024 arasında ayrı Turla operasyonlarına odaklanan ve Ukrayna'daki askeri operasyonlarda kullanılan cihazları hedefleyen başka bir rapor yayınladı.
En son kampanyada Turla, Amadey Botnet ve "Storm-1837" olarak bilinen başka bir Rus hack grubu için altyapıyı kullandı. Bu altyapı, Turla'nın Tavdig ve Kazuarv2 dahil olmak üzere özel kötü amaçlı yazılım ailelerini Ukrayna sistemlerine dağıtmak için kullanıldı.
Microsoft, Turla'nın Amadey'i kaçırıp kullanmadığından emin değil, ancak BotNet'e erişim satın alıyor, ancak kampanya diğer hacker gruplarının arkasına saklanan belirli tehdit aktörünün başka bir örneğini oluşturuyor.
Microsoft, "Microsoft, Secret Blizzard'ın Amadey kötü amaçlı yazılımları bir hizmet olarak (MaaS) kullandığını veya hedef cihazlara bir PowerShell damlası indirmek için Amadey komut ve kontrol (C2) panellerine gizlice eriştiğini değerlendiriyor."
"PowerShell Droper, Kod tarafından eklenen ve gizli Blizzard C2 altyapısına bir talep çağıran bir baz 64 kodlu Amadey yükü içeriyordu."
Ukrayna'daki Turla saldırıları, enfekte olmuş cihazlarda yük dağıtımında kullanılan kötü amaçlı ekler, Storm-1837 backroors veya Amadey Botnet taşıyan kimlik avı e-postaları ile başlar.
Amadey, 2018'den beri ilk erişim ve yük dağıtımında kullanılan bir kötü amaçlı yazılım botnet'tir. Bir noktada, Lockbit bağlı kuruluşları tarafından ağlara konuşlandırılan şifrelemelerin öncüsü olarak kullanılmıştır.
Çok yönlü kötü amaçlı yazılımlar öncelikle bir kötü amaçlı yazılım düştüğü gibi hareket etmek için kullanılır ve Turla durumunda, güvenliği ihlal edilmiş cihazlara özel keşif araçlarını dağıtmak ve tehdit grubunun özel kötü amaçlı yazılımlarını Tavdig ("Rastls.dll" "yükleyen PowerShell Droppers'ı indirmek için kullanılır. ).
Microsoft, bilgisayar korsanlarının, Starlink Internet sistemlerine bağlı askeri cihazlar gibi yüksek öncelikli hedefleri tanımlamak için bırakılan toplu iş dosyası tarafından sağlanan keşif bilgilerini kullandıklarını açıklıyor.
Raporda Microsoft, "Microsoft gizli Blizzard'ın özel keşiflerini veya anket aracını indirdiğini gözlemledi."
Diyerek şöyle devam etti: "Bu araç seçici olarak tehdit oyuncusu tarafından daha fazla ilgi duyan cihazlara konuşlandırıldı-örneğin, Ukrayna cephesi askeri cihazlarının ortak bir imzası olan Starlink IP adreslerinden çıkan cihazlar."
Muhtemelen, StarLink cihazları, Turla'nın FSB'deki rolüyle uyumlu olarak ön hat askeri faaliyetlerinde istihbarat toplamayı hedefledi.
Microsoft'un raporu, Turla'yı Redmond'un geçmişte Ukraynalı dron operatörleri tarafından kullanılan cihazlara odaklandığını söyleyen Storm-1837 olarak bilinen başka bir Rus tehdit oyuncusu ile ilişkilendiriyor
Microsoft'a göre Turla, Storm-1837'nin Ocak-1837'nin Ocak 2024'te Winrar Flaw CVE-2023-38831'den yararlanarak Ukrayna'da konuşlandırdığı 'Cookbox' adlı güç kabuğu arka kapısını kullandığı görüldü.
Turla'nın özel kötü amaçlı yazılım aileleri daha sonra bu sistemlere konuşlandırıldı, bu da Storm-1837'nin veya yüklerini teslim etmek için Turla ile çalıştığını veya Turla ile birlikte çalıştığını gösterdi.
Tavdig ve Kazuarv2, Turla'nın kötü amaçlı yazılım cephaneliğinin temel bileşenleridir ve en son casusluk kampanyalarında farklı ancak tamamlayıcı roller oynarlar.
TAVDIG, bir başlangıç dayanağı oluşturmak, gözetim yapmak ve ek yükler dağıtmak için tasarlanmış hafif, modüler bir arka kapıdır.
Kullanıcı kimlik bilgileri, ağ yapılandırmaları ve yüklü yazılım gibi bilgileri toplayabilir ve ayrıca kayıt defteri değişikliklerini gerçekleştirebilir ve kalıcılık için planlanmış görevler oluşturabilir.
Tavdig'in tehlikeye atılan cihazlarda yüklediği araçlardan biri, Turla'nın uzun vadeli istihbarat koleksiyonu, komut yürütme ve veri açığa çıkması için tasarlanmış daha gelişmiş, gizli arka kapısı olan Kazuarv2'dir.
Kazuarv2 tipik olarak algılamadan kaçınmak için 'explorer.exe' veya 'opera.exe' gibi meşru sistem süreçlerine enjekte edilir ve daha sonra komut ve kontrolünden (C2) veri ve komutlar gönderir ve alır.
Microsoft, Kazuarv2'nin modüler bir kötü amaçlı yazılım olduğunu belirtir, bu nedenle belirli casusluk ihtiyaçlarına uyum sağlayarak gerektiği gibi ek eklentilerle genişletilebilir.
Savunuculara, bu özel TURLA operasyonunu ve grubun daha geniş faaliyetlerini kapsayan raporda Microsoft'un önerilen azaltma ve av sorgularını kontrol etmeleri önerilir.
Rusya, Windows, Android kötü amaçlı yazılımlarla Ukrayna istifalarını hedefliyor
Rus hackerlar Pakistanlı Hacker'ların sunucularını kendi saldırıları için kaçırdı
Çinli bilgisayar korsanları uzaktan erişim için Visual Studio Kodu tünellerini kullanıyor
ABD Org, Çinli bilgisayar korsanları tarafından dört aylık saldırı yaşadı
ABD, Çinli bilgisayar korsanlarının birden fazla telekom sağlayıcısını ihlal ettiğini söylüyor
Kaynak: Bleeping Computer