Rus tehdit grubu 'UNC5812' tarafından yürütülen hibrit bir casusluk/etki kampanyası, Windows ve Android kötü amaçlı yazılımlarla Ukrayna askeri askerlerini hedefleyen ortaya çıktı.
Google'ın tehdit istihbaratına göre, kampanya, araştırmacılar tarafından "Sunspinner" olarak adlandırılan sahte bir işe alım kaçınma uygulaması aracılığıyla kötü amaçlı yazılım dağıtmak için bir web sitesi ve özel telgraf kanalı ile birlikte "sivil savunma" kişiliğini taklit etti.
Kampanya, her platform için farklı kötü amaçlı yazılım kullanarak Windows ve Android cihazlarını hedef alarak saldırganlara veri hırsızlığı ve gerçek zamanlı casusluk özellikleri veriyor.
Google, kötü niyetli etkinliği engellemek için korumalar uyguladı, ancak operasyon Rusya'nın devam eden kullanımını ve siber savaş alanındaki kapsamlı yetenekleri vurgulamaktadır.
UNC5812'nin kişiliği, Ukrayna'nın sivil savunmasını veya herhangi bir devlet kurumunu taklit etmeye çalışmaz, bunun yerine Ukrayna istifalarına yararlı yazılım araçları ve tavsiyeleri sunan meşru bir Ukrayna dostu kuruluş olarak tanıtılır.
Persona, potansiyel kurbanları meşgul etmek ve Ukrayna'nın işe alım ve seferberlik çabalarına karşı anlatılar sunmak için bir telgraf kanalı ve bir web sitesi kullanıyor.
Google kampanyayı 18 Eylül 2024'te keşfettiğinde, Telegram'daki "Sivil Savunma" kanalının 80.000 üyesi vardı.
Sivil Savunma'nın web sitesini ziyaret etmek için kandırılan kullanıcılar, kullanıcıların işe alım yerlerini izlemelerine ve bunlardan kaçınmasına yardımcı olabilecek kalabalık kaynaklı bir haritalama aracı olarak tanıtılan kötü amaçlı bir uygulama için bir indirme sayfasına alınır.
Google bu uygulamayı "Sunspinner olarak adlandırıyor ve uygulamada işaretleyiciler içeren bir harita bulunmasına rağmen, Google verilerin üretildiğini söylüyor. Uygulamanın tek amacı, arka planda gerçekleşen kötü amaçlı yazılımların yüklenmesini gizlemektir.
Sahte uygulamalar Windows ve Android indirmeleri sunar ve yakında iOS ve macOS eklemeyi vaat eder, böylece Apple platformları henüz desteklenmez.
Windows Download, Emtia Info-Sweeter 'Purestealer' dahil olmak üzere UNC5812'nin sunucusundan ek kötü amaçlı yükler getiren bir kötü amaçlı yazılım yükleyici olan Pronis Loader'ı yükler.
Purestealer, hesap şifreleri, çerezler, kripto para birimi cüzdanı ayrıntıları, e -posta istemcileri ve mesajlaşma uygulama verileri gibi web tarayıcılarında depolanan bilgileri hedefler.
Android'de indirilen APK dosyası, ticari olarak temin edilebilen bir arka kapı olan CraxsRat'ı bırakır.
CraxSRAT, saldırganların kurbanın konumunu gerçek zamanlı olarak izlemesine, tuş vuruşlarını kaydetmesine, ses kayıtlarını etkinleştirmesine, iletişim listelerini almasına, SMS mesajlarına erişmesine, dosyaları açıklamasına ve hasat kimlik bilgilerini sağlar.
Bu kötü niyetli etkinlikleri çözülmemiş gerçekleştirmek için, uygulama kullanıcıları Google Play Protect, Android'in inşa edilmiş kötü amaçlı yazılımla mücadele aracı devre dışı bırakma ve manuel olarak riskli izinler vermeye çalışır.
Google, Android kötü amaçlı yazılımları erken algılamak ve engellemek için Google Play korumalarını güncelledi ve kampanya ile ilgili alan adlarını ve dosyaları Chrome'daki 'Güvenli Tarama' özelliğine ekledi.
En son UNC5812 kampanyasıyla ilişkili uzlaşma göstergelerinin tam listesi burada mevcuttur.
Özel kötü amaçlı yazılım kullanılarak ihlal edilen Avrupa Govt hava kaplı sistemler
Android kötü amaçlı yazılım "sahtekarlık" şimdi banka çağrılarını saldırganlara yönlendiriyor
ABD, Çinli bilgisayar korsanlarının birden fazla telekom sağlayıcısını ihlal ettiğini söylüyor
Amazon, verileri çalmak için Rogue Uzak Masaüstü Kampanyasında kullanılan alanları ele geçirir
Google Play'de 200'den fazla kötü amaçlı uygulama milyonlarca kez indirildi
Kaynak: Bleeping Computer