Strrat ve Ratty Remote Access Trojans'ın (RAT) operatörleri, güvenlik araçlarından algılamadan kaçınmak için Polyglot MSI/JAR ve CAB/JAR dosyalarını kullanarak yeni bir kampanya yürütüyor.
Kampanya, tehdit aktörlerinin anti-virüs motorları tarafından tespit edilmesinde ılımlı bir başarı elde ettiğini bildiren Deep Instinct tarafından tespit edildi. Bu, iki belirli sıçanın kaç yaşında ve iyi belgelenmiş olduğu dikkate alınır.
PolyGlot dosyaları, iki veya daha fazla dosya formatını, birden fazla farklı uygulama tarafından hatasız yorumlanmasını ve başlatılmasını mümkün kılacak şekilde birleştirir.
Tehdit aktörleri, kötü niyetli kodu gizlemek, güvenlik çözümlerini karıştırmak ve birkaç yıldır korumaları atlamak için Polyglot dosyalarını kullanıyor.
Son zamanlarda, bu tekniğin Outlook ve Thunderbird hesaplarını hedefleyen Strelastealer kötü amaçlı yazılımı tarafından kullanıldığını bildirdik.
Microsoft’un imza tabanlı bir algılama sistemi uygulayarak sorunu ele alma çabalarına rağmen, bu korumayı atlamanın yolları vardır, bu nedenle çok dilli dosyalar kötü niyetli amaçlar için kullanılmaya devam etmektedir.
En son sıçan dağıtım kampanyasında derin içgüdün gözlemlediği 2018'den beri kullanılan önemli bir durum, kavanoz ve MSI formatlarının tek bir dosyada birleşmesidir.
JAR dosyaları, sonlarında bir kayıtla tanımlanan arşivlerdir, MSI'da ise dosya türü tanımlayıcısı dosyanın başında bir “sihirli başlıktır”, böylece tehdit aktörleri iki biçimi tek bir dosyada kolayca birleştirebilir.
Bu çift biçim, Windows'ta MSI olarak yürütülmelerine ve Java çalışma zamanı tarafından bir jar dosyası olarak yürütülmesine izin verir.
Kavanozlar yürütülebilir değildir, bu nedenle anti-virüs araçları tarafından güçlü bir şekilde kontrol edilmezler. Ne yazık ki, bu, kötü niyetli kodu gizlemelerine ve AV'yi dosyanın MSI bölümünü taramaya yönlendirmelerine olanak tanır, bu da temizlenmelidir.
Derin içgüdü, aynı iki sıçan ailesini içeren diğer durumlarda MSI yerine Kabin/Kavanoz kombinasyonlarını fark etti. Kabinler ayrıca kavanozlarla çok dilli kombinasyonlar için iyi adaylardır, çünkü onlar da dosya türü yorumlaması için sihirli bir başlığa sahiptir.
Bu kampanyada kullanılan çok argal, cutt.ly ve repbrand.ly gibi sendgrid ve URL kısaltma hizmetleri ile yayılırken, getirilen strrat ve ratty yükler anlaşmazlık içinde saklanır.
Tespit açısından, CAB/kavanoz poliglotları 59 AV motorundan altı pozitif virüs toplamı, 30 güvenlik satıcısı ise MSI/kavanoz poliglotlarını tanımlar. Bu nedenle, tespit oranı% 10 ile% 50 arasında değişmektedir.
Deep Instinct, hem Strat hem de Ratty için incelendiğinin çoğunun aynı C2 adresini kullandığını ve aynı Bulgar barındırma firması tarafından barındırıldığını bildiriyor.
Bu nedenle, her iki suşun da aynı operatör tarafından yürütülen tek bir kampanyada kullanılması mümkündür.
Kötü niyetli PYPI paketleri, güvenlik duvarlarını atlamak için cloudflare tünelleri oluşturur
Bilgisayar korsanları kötüye kullanma Windows hatası raporlama aracı kötü amaçlı yazılım dağıtmak
Bitrat kötü amaçlı yazılım kampanyası, kimlik avı için çalıntı banka verilerini kullanır
Bilgisayar korsanları Windows cihazlarını ele geçirmek için sahte Pokemon NFT oyununu itin
Microsoft yamaları Windows Sıfır Gün
Kaynak: Bleeping Computer