'APT-C-23' olarak izlenen Hamas destekli hack grup, savunma, hukuk, icra ve devlet kurumlarında çalışan, nihayetinde yeni kötü amaçlı yazılımın dağıtılmasına yol açan Catfishing İsrail yetkilileri bulundu.
Kampanya, spyware'i teslim etmeden önce sahte sosyal medya profilleri ve hedeflerle uzun vadeli bir katılım gibi üst düzey sosyal mühendislik numaralarını içerir.
Cybeaseason'daki analistlere göre, bu yeni kampanya 'operasyonu sakallı Barbie'yi adlandıran' APT-C-23, Casusluk'a yönelik Windows ve Android cihazlar için yeni özel arka tabanları da kullanıyor.
Tehdit aktörleri, fabrikasyon kimliklerini ve çalınan veya çekici kadınların çalınan veya bu profiller aracılığıyla hedeflere yaklaşan birkaç sahte Facebook profilini yarattı.
Otantik görünmelerini sağlamak için, operatörler bu profilleri aylarca küratörlüğüne, İbranice ve beğenme grupları ve İsrail'deki popüler sayfalarda kayıt yaptırdı.
Bu profillerin operatörleri, gerçekte, İsrail'in polisi, savunma güçleri, acil durum hizmetlerinde veya hükümette çalışan insanları hedefleyen bir arkadaş ağı oluşturur.
Bir süredir onlarla etkileşime girerek hedefin güvenini kazandıktan sonra, rakipler daha iyi gizlilik için sözde WhatsApp'a sohbeti taşır.
Bu, konuşmanın erotik bir dönüş yaptığında, tehdit aktörleri, aslında Volatilevenom kötü amaçlı yazılım olan sözde daha sağduyulu bir Android IM uygulamasına başka bir pivot önerir.
Eşzamanlı olarak, operasyon, bir cinsel video içerdiği bir RAR dosyasına bir bağlantı gönderir, ancak gerçekte Barbwire Backdoor için bir indiricidir.
Volatilevenom ile başlayarak, bu Android kötü amaçlı yazılımın kendisini bir mesajlaşma uygulaması olarak gizler, en sık göz kırpma sohbeti.
Cyberason, bu backdoor'un en az 2020 Nisan'dan bu yana APT-C-23 tarafından kullanıldığını açıklar, ancak o zamandan beri ek özelliklerle zenginleştirilmiştir.
İlk başlatma ve kayıt işlemi sırasında, uygulama bir sahte hatayı görüntüler ve kendisini cihazdan otomatik olarak kaldıracağını bildirir.
Gerçekte, ancak aşağıdaki işlevleri yerine getirerek arka planda çalışmaya devam eder:
Kurbanın aygıtı Android 10 veya daha sonra çalıştırırsa, uygulama bir Google Play, Chrome veya Google Haritalar simgesi kullanır. Önceki Android sürümlerinde, App simgesini tamamen gizler.
Yayın balığı girişimlerinin bir parçası olarak, tehdit aktörleri sonunda hedefi çıplak fotoğraflar veya videoların hedefi bir RAR dosyasını gönderir.
Bununla birlikte, bu RAR dosyası Barbwire Backdoor'un kurulumuna yol açan Barb (IE) Downloader Malware içerir.
Cybereason tarafından görülen bir diken (yani) örnek bir örneği "Windows Bildirimleri" dosya adına sahiptir ve başlatıldığında bazı analiz kontrolleri yapacaktır.
Daha sonra, Barb (yani) Komuta ve Kontrol Sunucularına (C2) bağlanır ve bir sistem kimliği profili gönderirken, iki zamanlanmış iki görev oluşturarak da kalıcı kurar. Son olarak, bu Barbwire Backdoor'ı cihazda indirir ve yükler.
Barbwire, aşağıdaki gibi kapsamlı yeteneklere sahip tamamen bozulmuş bir arka kapıdır:
Cyberason, APT-C-23 grubu tarafından aktif gelişimini gösteren en az üç farklı Barbwire varyantını örnekleyebildi.
APT-C-23, İsrail hedeflerine karşı birçok geçmiş kampanyada istihdam edilen birçok teknik kullandığımız, ancak yeni araçlarla ve daha karmaşık sosyal mühendislik çabalarıyla gelişmeye devam ediyor.
Operasyon sakallı barbie ve önceki kampanyalar arasındaki farklılaşmanın bir noktası, grubun algılamayı önleme konusundaki ilgisini gösteren örtüşen altyapı olmamasıdır.
Biri Windows ve Android için bir olan iki arka kapı kullanımı, tehdit oyuncusu için başka bir yükseltmedir, bu da tehlikeye giren hedefler için çok agresif casusluk sağlar.
Yeni Bulunan Android Malware Kayıtları Ses, konumunuzu izler
Bilgisayar korsanları forumlarda sahte kötü amaçlı yazılımları iterek hackerlardan çalınır
Hacker'lar, bahis firmalarını ihlal etmek için yeni WPS ofisi kusurunu kullanıyor
Android Password-Sporing Malware 100.000 Google Play kullanıcısı bulaşıyor
Darkhotel Hack Campaign Lüks Macao Resorts Hedefler
Kaynak: Bleeping Computer