Hackers, Cybersecurity Araştırmacıları ve Geliştiricilerini, Cryptocurrency Winerers, Remote Truva'ları ve madencileri kurmak için DNSPY .NET uygulamasının kötü amaçlı bir versiyonunu dağıtarak bu hafta siber bir kötü amaçlı yazılım kampanyasında hedefledi.
Dnspy, .NET programlarını hata ayıklamak, değiştirmek ve dekompatmak için kullanılan popüler bir hata ayıklayıcı ve .NET montaj düzenleyicidir. Siberevi Araştırmacılar, .NET malware ve yazılımları analiz ederken bu programı genel olarak kullanır.
Yazılım, ilk geliştiriciler tarafından artık aktif olarak geliştirilmemesi durumunda, orijinal kaynak kodu ve yeni bir aktif olarak geliştirilen bir sürüm, GitHub'da herhangi biri tarafından klonlanmalı ve değiştirilecektir.
Bu hafta, bir tehdit aktör, CRYPTOVURRENCY, QUASAR uzaktan erişim Trojanı, madenci ve çeşitli bilinmeyen yükler dahil olmak üzere pano korsanları da dahil olmak üzere bir malware kokteyli olan DNSPY'nin derlenmiş bir sürümüne sahip bir Gitub deposu yarattı.
Bu yeni kampanya, başlangıçta HTTPS: // Github [.] COM / Carbonblackz / Dnspy / ve daha sonra HTTPS: // GITHUB [.] COM / ISHARPDEV'e geçişi olan Kötü Amaçlı DNSPY Projesini gören Güvenlik Araştırmacıları 0Day Tutkat ve MalwarehunterTeam tarafından keşfedildi. / DNSPY, daha ikna edici görünmek için.
Tehdit aktörleri ayrıca, güzel tasarlanmış ve profesyonel görünümlü net, dnspy [.] Net'te bir web sitesi yarattı. Bu site şimdi aşağıdadır, ancak aşağıdaki arşivlenmiş sürümün bir ekran görüntüsünü görebilirsiniz.
Web sitesini tanıtmak için, tehdit aktörleri, Google'ın ilk sayfasında listelenen DNSPY [.] Net'i almak için başarılı arama motoru optimizasyonu yaptı. Bu etki alanı, Bing, Yahoo, AOL, Yandex ve Ask.com'da belirgin bir şekilde listelenmiştir.
Yedekleme planı olarak, aşağıda gösterildiği gibi, arama sonuçlarında ilk öğe olarak görünecek arama motoru reklamlarını da attılar.
Kötü niyetli DNSPY uygulaması, yürütüldüğünde normal programa benziyor. .NET uygulamalarını açmanıza, onları hata ayıklamanıza ve programın tüm normal işlevlerini gerçekleştirmenize olanak sağlar.
Bununla birlikte, kötü amaçlı DNSPY uygulaması [Virustotal] başlatıldığında, yükseltilmiş izinlerle çalışan zamanlanmış görevler oluşturan bir dizi komutu yürütecektir.
MalwarehunterTeam tarafından BleepingComputer ile paylaşılan komutların bir listesinde, kötü amaçlı yazılım aşağıdaki işlemleri gerçekleştirir:
Yük yükleri http: // 4api [.] Net / ve aşağıda listelenen çeşitli kötü amaçlı yazılımları içerir:
Pano Korsanı (CBOT.EXE), önceki saldırılarda bazı başarı ile kullanılan kriptokurans adreslerini kullanır. Bitcoin adresi yaklaşık 4,200 dolar toplam 68 bitcoin işlemi çalındı.
Bu kampanyanın bir parçası olarak kullanılan kriptokurans adresleri:
Şu anda, hem DNSPY [.] NET ve bu kampanyayı güçlendirmek için kullanılan Github deposu kapatıldı.
Bununla birlikte, güvenlik araştırmacıları ve geliştiricilerin, kötü amaçlı yazılımları cihazlarına kurabilen kötü amaçlı projelerin kötü niyetli klonları için sürekli olmaları gerekir.
Siber Güvenlik Araştırmacılarına ve Geliştiricilere yapılan saldırılar yeni değildir ve daha fazla açıklanmamış güvenlik açıklarını çalmak, kaynak kodu almak veya hassas ağlara erişmek için giderek daha yaygın hale geliyor.
Geçen yıl, Google ve Güvenlik Araştırmacıları, devlet destekli Kuzey Kore hackers, çeşitli lures kullanarak güvenlik açığı araştırmacıları hedeflediğini keşfetti. Bu lures, sahte Visual Studio projeleri, Internet Explorer sıfır gün güvenlik açıkları, kötü amaçlı siber güvenlik şirketleri ve kötü niyetli IDA Pro indirmeleri içeriyordu.
Kaynak: Bleeping Computer