Araştırmacılar, Lazarus grubuna ait olduğu değerlendirilen yeni bir saldırı kampanyasının iş arama temalı oltalama e-postalarıyla başlatıldığını belirtiyor. Kampanya, Operation DreamJob yaklaşımıyla benzerlik taşıyan sahte iş arama sitelerini içeriyor.
Sahte sitelerdeki yapay zekâ ile üretilmiş portre fotoğrafı, saldırganların sayfaları hedeflere özel uyarladığına işaret ediyor. E-postalar, kişilere özel portföy ve özgeçmiş sitelerine yönlendiren bağlantılarla hedefli oltalama yapıyor.
Kötü amaçlı sitenin ziyaret edilmesi, Güney Kore’de kullanılan güvenlik eklentisi ve web kimlik doğrulama yazılımı CrossWeb EX üzerinden bulaşma zincirini tetikleyebilir. Saldırganlar, yazılımdaki potansiyel güvenlik açığını ilk erişim noktası olarak kullanmış olabilir.
Araştırmacılar, bu alanda daha önce bir güvenlik bildirimi yayımlanmış olmasını da saldırı zincirinin dayandığı zafiyetin varlığına kanıt olarak değerlendiriyor. Kapsamlı analizler çok sayıda zararlı yükün tespit edilmesini ve bulaşma zincirinin yeniden kurulmasını sağladı.
Saldırganlar, mevcut zararlı yazılımların güncel sürümlerini TouchHub ve ClientHub adlı iki yeni araçla birleştiriyor. Bu bileşenler, hedef bilgisayarlara ek zararlı yazılım yükleyerek komut çalıştırıyor ve saldırganlarla iletişimi sürdürüyor. Bir varyant, operatörlerle bağlantı kurmak için Dropbox platformundan yararlanıyor.
Kampanyada ayrıca ele geçirilen bilgisayarlardan bilgi toplayıp ek zararlı yazılım yükleyen LPEClient aracının güncellenmiş sürümü bulundu. ML-KEM-1024 kriptografik mekanizmasını kullanan araç, sistem bilgilerini sıkıştırıp şifreleyerek saldırganlara iletiyor. Zararlı yazılımı indirmeden doğrudan bellekte çalıştırmak için şifreli bağlantı kuruyor; bellek koruma ayarlarını ve izleme kancalarını değiştirerek güvenlik izlemelerini zorlaştırıyor.
Kaynak: CNN Türk
