Uzmanlar, söz konusu siber saldırı kampanyasını orta düzeyde bir kesinlikle APT41 grubuna atfederken, zararlı yazılımın 2022'de dark web'de satışa sunulan BlackLotus adlı kötü şöhretli zararlı yazılımın modernize edilmiş bir devamı olduğunu belirtti.
GReAT'in yürüttüğü araştırma, saldırganların Windows işletim sisteminin önyükleme sürecindeki güvenlik mekanizmalarını ve birçok üçüncü taraf güvenlik çözümünü atlatacak biçimde tasarlanmış zararlı yazılımı kullandığını ortaya koydu. Bu yazılım, fark edilmeden uzun süre erişim sağlamayı ve yüksek kalıcılık kurmayı hedefliyor.
Zararlı yazılım, bilgisayar açılırken yalnızca güvenilir yazılımların çalışmasını amaçlayan Secure Boot özelliğini aşabiliyor. Bunun için daha önce bilinen Baton Drop güvenlik açığından yararlanıyor. Microsoft bu açığa yönelik bir yama yayımlamış olsa da korumanın tamamen etkinleşmesi için sistem yöneticilerinin belirli yapılandırma adımlarını manuel olarak tamamlaması gerekiyor. Bu adımları uygulamayan çok sayıda kuruluş savunmasız kalıyor.
Saldırganlar kurbanların iç ağlarına sızıp Windows sistemlerinde yönetici ayrıcalıklarını ele geçirdikten sonra bootkit'i yüksek kalıcılık sağlayan ikincil zararlı yazılım olarak kullanıyor. Faaliyetlerini olay müdahale ekiplerinden gizlemek isteyen saldırganlar, bootkit bileşenlerini şifrelenmiş dosyalar ve tespit edilmekten kaçacak biçimde özel tasarlanmış yükleyici programlar aracılığıyla hedef cihazlara aktarıyor.
Güvenlik açığından yararlanıldıktan sonra zararlı yazılım, güvenlik yazılımlarını devre dışı bırakmaya yönelik bir bileşen çalıştırıyor. Kaspersky'nin uç nokta koruma çözümü bu girişimi engelledi ve saldırı başarısız oldu. Koruma devre dışı bırakılabilseydi saldırganlar, Google Drive, OneDrive ve Yandex Disk gibi meşru bulut hizmetlerinden yararlanarak gizli bilgileri çalmaya ve kurbanların faaliyetlerini izlemeye yönelik casus yazılım çalıştıracaktı.
Kaynak: CNN Türk Teknoloji
