SideWalk Malware Saldırılarının Çinli Grayfly hacker grubun dan kaynaklandığı ortaya çıktı!
Ağustos ayının sonlarında Slovak siber güvenlik firması ESET , saldırgan kontrollü bir sunucudan gönderilen isteğe bağlı eklentileri yüklemek, güvenliği ihlal edilmiş sistemlerde çalışan işlemler hakkında bilgi toplamak ve sonuçları uzak sunucuya geri iletmek için tasarlanan SideWalk adlı bir implantın ayrıntılarını açıkladı . .
Siber güvenlik firması, izinsiz girişi, Winnti (aka APT41) kötü amaçlı yazılım ailesine bağlı olduğuna inanılan bir düşman olan SparklingGoblin olarak izlediği bir gruba bağladı.
En az Mart 2017'den beri aktif olduğu bilinen Grayfly, ilk izinsiz giriş için web kabukları yüklemek üzere herkese açık Microsoft Exchange veya MySQL web sunucularından yararlanarak hassas verilerin peşinde olan çeşitli sektörleri hedef almasıyla ünlü "APT41'in casusluk kolu" olarak işlev görüyor. Ağ üzerinde yanlamasına yayılmadan önce ve tehdit aktörünün uzaktan erişimi sürdürmesini ve birikmiş bilgileri sızdırmasını sağlayan ek arka kapılar kuruyor.
Symantec tarafından gözlemlenen bir örnekte, saldırganın kötü niyetli siber etkinliği, ağa ilk adımını atmak için internet üzerinden erişilebilen bir Microsoft Exchange sunucusunu hedef alarak başladı. Bunu, tanımlanamayan bir web kabuğu yüklemek için bir dizi PowerShell komutu yürütüldü ve sonuçta Kaldırım arka kapısının ve önceki Grayfly saldırılarında kullanılmaya başlanan Mimikatz kimlik bilgisi boşaltma aracının özel bir varyantının konuşlandırılmasına yol açtı.
Araştırmacılar, "Grayfly, telekomünikasyon, finans ve medya dahil olmak üzere çeşitli sektörlerde Asya ve Avrupa'daki kuruluşlar için risk oluşturmaya devam etmesi muhtemel yetenekli bir aktör" dedi. "Muhtemelen bu grup, saldırılarına yardımcı olmak için herkese açık açıklar ve web kabukları gibi emtia araçlarını kullanmanın yanı sıra, kaçınma taktiklerini geliştirmek için özel araçlarını geliştirmeye ve iyileştirmeye devam edecek."
Yorumlar
Yorum Gönder