Trend Micro, Çin tehdit grubu tarafından kötü niyetli DLL'leri yan yüklemek ve kötü amaçlı yazılım dağıtmak için kullanılan trend mikro güvenliğinde bir DLL kaçırma kusurunu yamaladığını söylüyor.
Sentinel laboratuvarlarının erken bir raporda açıklandığı gibi, saldırganlar güvenlik ürünlerinin, kendi kötü şekilde hazırlanmış DLL'lerini belleğe dikmek ve yüklemek için Windows'ta yüksek ayrıcalıklarla çalıştığı ve ayrıcalıkları yükseltmelerine ve kod yürütmelerine izin verdikleri gerçeğini kullandılar.
"Trend Micro, 2 Mayıs 2022'de yayınlanan ve Trend'den Biri de dahil olmak üzere çeşitli popüler güvenlik ürünlerini ele geçirmeye çalışan kötü amaçlı yazılım kümelerini kullanan 'Moshen Dragon' olarak adlandırılan iddia edilen bir merkezi Asya tabanlı tehdit aktörü hakkında bazı araştırmaların farkındadır. Micro, "dedi siber güvenlik şirketi.
Raporu ve ürün yelpazesini analiz ettikten sonra şirket, başka hiçbir ticari veya iş ürününün etkilenmediği, yalnızca Mikro Güvenlik Tüketici Odaklı Ürünün etkilendiğini keşfetti.
"Trend Micro Güvenlik (Tüketici) için, 19 Mayıs 2022'de Trend Micro'nun ActivePupdate (AU) aracılığıyla bir düzeltme uygulandı ve aktif bir internet bağlantısı olan herhangi bir kullanıcı henüz henüz almamışlarsa güncellemeyi almalıdır." Antivirüs satıcısı eklendi.
Moshen Dragon Group'un ayrıca Windows Yönetim Enstrümantasyonu (WMI) yoluyla yanal hareket ve uzaktan kod yürütme için tasarlanmış bir python kiti olan Impacket'i kurmak için Bitdefender, McAfee, Symantec ve Kaspersky'den güvenlik ürünlerinde benzer hataları kötüye kullandığı bildirildi.
Impacket ayrıca, bir etki alanındaki şifre değiştirme olaylarının ayrıntılarını yakalamak için kullanılan açık kaynaklı bir araçla desteklenen kimlik bilgisi çalma özelliklerine sahiptir.
Sentinel Labs'a göre, Moshen Dragon operatörleri tarafından bırakılan son yükler, son yıllarda birden fazla Çinli APT tarafından kullanılan iki backroor olan Plugx ve ShadowPad varyantlarını içeriyor.
Tehdit aktörleri bu taktikleri, Orta Asya'daki telekomünikasyon hizmet sağlayıcılarını hedeflemek için kullandılar ve verileri mümkün olduğunca çok sistemden kaynaklamak amacıyla nihai hedef.
Trend Micro, Moshen Dragon'un kötü niyetli ürünler için güvenlik ürünlerini kötüye kullanmasını durdurmak için alınan hafifletme önlemlerini detaylandıran bir danışma yayınlamış olsa da, diğer satıcılar ürünlerinin etkilenip etkilenmediğini ve hataların yamalı olup olmadığını henüz doğrulamamıştır.
BleepingComputer, yorum için Bitdefender, McAfee, Symantec ve Kaspersky'den sözcülere ulaştı, ancak henüz bir cevap almadı.
GÜNCELLEME 2 Mayıs 15:06 EDT: Bitdefender'ın Küresel Halkla İlişkiler Kıdemli Direktörü Steve Fiore, makalenin yayınlandıktan sonra, şirketin müşterilerinin DLL arama siparişi kaçırma saldırılarına karşı korunduğunu ve güvenlik danışmanlığı yapmaya gerek olmadığını söyledi.
Rakipler, dinamik bağlantı kütüphanelerini yüklemek için kullanılan arama siparişinin kontrolünü ele geçirerek kötü amaçlı yükler yürütmek için DLL arama siparişi kaçırma kullanır. Bu tekniği kullanan en ciddi sonuç, dosya yürütme kısıtlamalarını atlamak ve ayrıcalık artışı kazanmak için antivirüs kullanan rakipler olacaktır.
Bitdefender için durum böyle değil, yüklü ürünümüzün tehdit oyuncusu tarafından tehlikeye atıldığı hakkında hiçbir bilgimiz yok, müşterilerimiz ve ortaklarımız bu kampanyadaki ayrıcalık artışından korunuyor. Bitdefender bu tür saldırılara karşı savunmasız değildir. Ürün verilerimizi (dosyalar, kayıtlar vb.) Korumak için ek bir güvenlik katmanı olarak kendini koruma adı verilen teknolojiyi kullanıyoruz. Bir saldırgan bilinmeyen bir güvenlik açığını keşfetse bile, sömürü önleyen harici bitdedefender olmayan süreçlere erişim reddedilir.
İkinci DLL Arama Siparişi Kaçma Saldırısı Vector rakiplerinin yaygın olarak kullandığı, antivirüsün hedef sistemden güven kazanmak için dijital olarak imzalanmış ikili dosyaları kullanarak kötü amaçlı kod eklemek için bir maskeleme tekniği olarak kullanılmasını içerir. Bitdefender ürünlerinin en son sürümünü çalıştıran müşteriler ve ortaklar korunmaktadır. Güvenlik danışmanlığı yapmadık çünkü gerekli değildi - bir müşteri tarafından sorulursa doğrudan soruları yanıtladık.
Çin Siber-İzin Grubu Moshen Dragon Hedefleri Asya Telcos
Bilgisayar korsanları Rus Govt'u sahte pencerelerle iterek iten sıçanları hedeflemek
Çin'in "uzay korsanları" Rus havacılık firmalarını hackliyor
Kızgın It Yönetici İşveren veritabanlarını siliyor, 7 yıl hapis cezası alıyor
Sophos Antivirus sürücüsü Windows KB5013943 güncellemesinden sonra BSOD'lara neden oldu
Kaynak: Bleeping Computer