Microsoft, zararlı altyapının kapatılmasını zorlaştırmak için BNB Smart Chain’in kullanıldığı yeni bir kötü amaçlı yazılım kampanyasını tespit etti. Şirketin tehdit istihbaratı ekibi, saldırganların meşru internet sitelerini ele geçirerek bu sayfalara kötü niyetli JavaScript kodu yerleştirdiğini açıkladı.
Saldırı zinciri blokzincir üzerinden kuruldu
Microsoft Threat Intelligence, bu kodların BNB Smart Chain üzerinde dağıtılan bir akıllı sözleşmeyle iletişim kurduğunu belirtti. Saldırının, daha önce ClearFake operasyonuyla ilişkilendirilen EtherHiding tekniğine dayandığı aktarıldı. Microsoft Threat Intelligence, Microsoft bünyesinde siber tehditleri izleyen ve analiz eden güvenlik birimi olarak faaliyet gösteriyor.
Zararlı yazılımın bir sonraki aşamada çalıştırdığı yük, BNB Smart Chain RPC ağ geçidi üzerinden akıllı sözleşmeden alınıyor. Bu yapı, klasik müdahale yöntemlerine karşı daha dayanıklı görünüyor. Çünkü sözleşmeyi dağıtan cüzdanın sahibi dışında içerikte değişiklik yapılması ya da içeriğin kaldırılması mümkün olmuyor.
Mini sözlük: RPC ağ geçidi, uygulamaların bir blokzincir ağıyla veri alışverişi kurmasını sağlayan erişim noktasıdır. Akıllı sözleşme ise blokzincirde çalışan ve içeriği dağıtıldıktan sonra belirli koşullarla güncellenebilen kod yapısını ifade eder.
Microsoft, saldırganların meşru sitelere eklediği JavaScript kodunun BNB Smart Chain üzerindeki akıllı sözleşmeyle haberleştiğini ve bu sayede altyapının kapatılmasının belirgin biçimde zorlaştığını vurguluyor.
Sahte CAPTCHA ile komut çalıştırılıyor
Kurbanların karşısına daha sonra sahte bir CAPTCHA ekranı çıkarılıyor. Bu ekran, kullanıcıya Windows Çalıştır penceresini açmasını, panodaki içeriği yapıştırmasını ve saldırganların kontrol ettiği komutu çalıştırmasını söylüyor. Bu yöntem, kullanıcıyı kendi eliyle zararlı süreci başlatmaya yönlendiren bir sosyal mühendislik adımı olarak öne çıkıyor.
Microsoft, saldırganların komutları gizlemek için kapsamlı karartma yöntemleri kullandığını bildirdi. Ayrıca PowerShell, Komut İstemi, Windows Terminal, mshta, rundll32, WMI, curl ve WebDAV gibi meşru Windows araçlarının da suistimal edildiği kaydedildi.
Microsoft, kullanıcıların CAPTCHA ekranları, tarayıcı uyarıları, reklamlar ve e postalar üzerinden verilen komutları kopyalayıp çalıştırmaması gerektiği uyarısında bulundu.
Ele geçirilen sistemlerde farklı yükler çalıştırılabiliyor
Zararlı kod çalıştırıldıktan sonra Lumma Stealer, XWorm, AsyncRAT, MintsLoader ve çeşitli uzaktan yönetim araçları dahil farklı yükler sisteme indirilebiliyor. Başarılı bulaşmaların kimlik bilgilerini açığa çıkarabileceği, bunun da insan kontrollü fidye yazılımı saldırılarının önünü açabileceği ifade edildi.
Microsoft, kurumlara ağ, web ve bulut korumalarını etkinleştirme, gereksiz komut satırı araçlarını kısıtlama ve PowerShell günlük kaydını açma tavsiyesinde bulundu. Şirket bu yıl kripto varlıklarla bağlantılı başka güvenlik uyarıları da yayımlamıştı. Haziranda pano verisini çalıp kopyalanan cüzdan adreslerini saldırgan adresleriyle değiştiren bir clipper kampanyasını açıklayan Microsoft, daha önce de SEO zehirleme içeren geniş çaplı bir kripto madenciliği operasyonuna dikkat çekmişti.
USDT
AAPL
