Ukrayna hükümet kuruluşları, ağları ilk olarak meşru Windows 10 yükleyicileri olarak poz veren truva atıkları ile tehlikeye atıldıktan sonra hedeflenen saldırılarda saldırıya uğradı.
Bu kötü niyetli yükleyiciler, tehlikeye atılan bilgisayarlardan veri toplayabilen, ek kötü amaçlı araçlar dağıtabilen ve çalıntı verileri saldırgan kontrolündeki sunuculara yayabilen kötü amaçlı yazılımlar sundu.
Bu kampanyada itilen ISO'lardan biri, Mayıs 2022'de oluşturulan bir kullanıcı tarafından Toloka [.]
Perşembe günü yapılan saldırıları keşfeden siber güvenlik firması Mantiant, "ISO, bir Windows bilgisayarının Microsoft'a göndereceği ve otomatik güncellemeleri ve lisans doğrulamasını engelleyeceği tipik güvenlik telemetrisini devre dışı bırakacak şekilde yapılandırıldı." Dedi.
Diyerek şöyle devam etti: "Paraleştirilebilir bilgilerin çalınması ya da fidye yazılımı veya kriptominerlerin konuşlandırılması yoluyla, müdahaleler için finansal bir motivasyon göstergesi yoktu."
Ukrayna hükümet ağlarında enfekte olmuş birkaç cihazı analiz ederken, Mantiant ayrıca Temmuz ayı ortalarında kurulan ve PowerShell aracılığıyla yürütülecek komutlar almak üzere tasarlanan planlanmış görevleri de tespit etti.
İlk keşiften sonra, tehdit aktörleri, uzlaşmış bilgisayarlara erişimi sürdürmelerine, komutları yürütmelerine, dosyaları aktarmalarına ve kimlik bilgileri ve tuş vuruşları da dahil olmak üzere bilgileri çalmalarına izin veren STOWAWAY, BEACON ve SparePart Backroors'u da kullandı.
Trojanize edilmiş Windows 10 ISO'ları, siber-durum gruplarının altyapılarına yükleri barındırdığı benzer saldırıların aksine, Ukrayna ve Rus dil torrent dosya paylaşım platformları aracılığıyla dağıtıldı.
Bu tedarik zinciri saldırısı Ukrayna hükümetini vururken, Torrents aracılığıyla sunulan kötü niyetli Windows ISO dosyaları
Mantiant, "Tehdit oyuncusunun bu yükleyicileri kamuya açıkladığını ve daha sonra kurbanın daha fazla yüklemenin konuşlandırılması gerekip gerekmediğini belirlemek için gömülü bir program görevi kullandığını değerlendiriyoruz."
Kötü niyetli Windows 10 montajcıları özellikle Ukrayna hükümetini hedeflemiyor olsa da, tehdit aktörleri enfekte olmuş cihazları analiz etti ve daha fazla odaklanmış, devlet kuruluşlarına ait olanlara yapılan saldırıları daha fazla gerçekleştirdi.
Mantion Tehdit İstihbaratı Başkan Yardımcısı John Hultquist, "Daha sonra UA hükümetine olan ilgi hedefleri seçildi. Bu hedefler GRU çıkarları ile örtüşüyor."
Burada atıfta bulunmuyoruz. Bu iyi. Burada casuslardan bahsediyoruz (muhtemelen) ve her zaman mallara sahip olmayacağız. Bu dersi alamayacağımız anlamına gelmez. Tedarik zinciri olayları ciddidir ve bu çatışma için hala en büyük endişe kaynağıdır. (3/x)
Bu tedarik zinciri saldırısının arkasındaki tehdit grubu UNC4166 olarak izleniyor ve olası amacı Ukrayna hükümet ağlarından hassas bilgileri toplamak ve çalmak.
O zamanlar net bir atıf olmasa da, Mantiant'ın güvenlik araştırmacıları, bu kampanyada saldırıya uğrayan kuruluşların daha önce Rus askeri istihbaratına bağlantıları olan APT28 devlet hackerlarının hedef listesinde olduğunu buldular.
"UNC4166'nın hedefleri, savaşın başlangıcında GRU ile ilgili kümeler tarafından sileceklerle hedeflenen kuruluşlarla örtüşüyor." Dedi Mantiant.
Diyerek şöyle devam etti: "UNC4166'nın etkileşimleri takip ettiği kuruluşlar, istilanın patlak vermesinden bu yana APT28 ile ilişkilendirdiğimiz tarihsel olarak yıkıcı silecek saldırılarının kurbanları olan kuruluşları içeriyordu."
APT28, en az 2004'ten bu yana Rusya Genelkurmay Ana İstihbarat Müdürlüğü (GRU) adına faaliyet göstermektedir ve 2015 Alman federal parlamentosunun hack ve Demokratik Kongre Kampanya Komitesi'ne (DCCC) yönelik saldırılar da dahil olmak üzere dünya çapında hükümetleri hedefleyen kampanyalarla bağlantılıdır. ve 2016 yılında Demokratik Ulusal Komite (DNC).
Rusya'nın Ukrayna'yı istilası başladığından beri, Ukrayna hükümetini ve askeri örgütleri hedefleyen birden fazla kimlik avı kampanyası Google, Microsoft ve Ukrayna'nın sertifikası tarafından APT28 operasyonları olarak etiketlendi.
"Trojanize ISO'ların kullanımı, casusluk işlemlerinde yenidir ve dahil edilmesi önleyici yetenekler, bu etkinliğin arkasındaki aktörlerin güvenlik bilincine sahip ve sabırlı olduğunu gösterir, çünkü operasyon ISO'nun geliştirilmesini ve beklemesini beklemek için önemli bir zaman ve kaynak gerektirecektir. İlgilenilen bir ağa yüklendi, "diye ekledi Mantiant.
Masif DDOS Saldırısı
Microsoft, kış boyunca Rus siber saldırıları konusunda uyarıyor
Ukrayna'da yeni fidye yazılımı saldırıları Rus Sandworm hacker'larına bağlı
Ukrayna, Rus hacktivistlerinin yeni Somnia fidye yazılımı kullandığını söylüyor
Ukrayna'daki fidye yazılımı saldırılarına bağlı Rus askeri hacker
Kaynak: Bleeping Computer