Yakın zamanda yapılan bir açıklamada, siber güvenlik firması Mandiant, UNC4990 olarak bilinen, finansal motivasyona sahip bir tehdit aktörünün faaliyetlerini açığa çıkardı. Bu sofistike grup, USB tabanlı saldırılar ile GitHub, Vimeo ve Ars Technica dahil meşru çevrimiçi platformlardan yararlanmanın benzersiz bir kombinasyonunu kullanıyor. UNC4990, kodlanmış verileri bu platformlardaki zararsız görünen içeriklerin içine gizleyerek tespit edilmeyi önlemeyi başarır ve saygın içerik dağıtım ağlarına duyulan güvenden yararlanır.
UNC4990'ın USB Tabanlı Saldırı Taktikleri
UNC4990'ın eylemleri, kampanyaların başlatılmasını içerir. USB aygıtları kötü amaçlı LNK kısayol dosyaları içeriyor. Bu dosyalar kurbanlar tarafından yanlışlıkla yürütüldüğünde explorer.ps1 adlı bir PowerShell betiği tetiklenir. Bu komut dosyası da, 'EMPTYSPACE' adlı kötü amaçlı yazılım indiricisini getiren bir URL'yi ortaya çıkaracak şekilde kodu çözülen bir aracı veri indirir.
Tehdit aktörü, bu aracı yükler için GitHub ve GitLab'daki kodlanmış metin dosyaları da dahil olmak üzere çeşitli barındırma yöntemleri kullanır. Ancak grup, Base64 kodlu ve AES şifreli dize yüklerini barındırmak için Vimeo ve Ars Technica'dan yararlanmak üzere stratejilerini değiştirdi. Daha da önemlisi, UNC4990 bu platformlardaki güvenlik açıklarından faydalanmıyor ancak Ars Technica forum profilleri ve Vimeo video açıklamaları gibi düzenli özellikleri akıllıca kullanıyor.
Barındırma platformlarındaki görünüşte zararsız metin dizileri olan bu yükler, saldırı zincirinde önemli bir rol oynayarak kötü amaçlı yazılımların indirilmesini ve çalıştırılmasını kolaylaştırır. UNC4990, kötü amaçlı yükleri meşru içeriğe yerleştirerek ve saygın platformlardan yararlanarak, radar altında çalışmayı başararak güvenlik sistemlerinin bunları şüpheli olarak işaretlemesini zorlaştırır.
UNC4990'ın Çok Bileşenli Arka Kapısı: QUIETBOARD
UNC4990 saldırı zinciri ilerledikçe, tehdit grubu çeşitli yeteneklere sahip gelişmiş bir arka kapı olan QUIETBOARD'u devreye alıyor. Bu çok bileşenli arka kapı, etkinleştirildikten sonra komut ve kontrol (C2) sunucusundan gelen komutları yürütür. İşlevlerinden bazıları arasında kripto para hırsızlığı için pano içeriğini değiştirmek, kötü amaçlı yazılım yaymak için USB sürücülere virüs bulaştırmak, bilgi hırsızlığı için ekran görüntüleri yakalamak ve ayrıntılı sistem ve ağ bilgileri toplamak yer alıyor. QUIETBOARD, sistemin yeniden başlatılması sırasında kalıcılık sergiler ve ekstra modüller aracılığıyla yeni işlevlerin eklenmesini destekler.
Geleneksel önleme önlemlerine rağmen, USB tabanlı kötü amaçlı yazılımlar önemli bir tehdit olmaya devam ediyor ve siber suçlular için etkili bir yayılma aracı olarak hizmet ediyor. UNC4990'ın ara yükler için görünüşte zararsız platformlar kullanmaya yönelik yenilikçi yaklaşımı, geleneksel güvenlik paradigmalarına meydan okuyor ve siber güvenliğin dinamik ortamında sürekli dikkatli olunması ihtiyacını vurguluyor.
UNC4990 ve Benzer Tehditlere Karşı Koruma
- Uç Nokta Güvenliğini Geliştirin: Kötü amaçlı LNK kısayol dosyalarının ve PowerShell komut dosyalarının algılanıp yürütülmesini önlemek için uç nokta güvenlik önlemlerini güçlendirin.
- USB Aygıtı Dikkati: USB aygıtlarını kullanırken dikkatli olun ve tanıdık olmayan veya şüpheli dosyaları çalıştırmaktan kaçının.
- Düzenli Güvenlik Denetimleri: Sistemlerdeki ve ağlardaki güvenlik açıklarını belirlemek ve azaltmak için rutin güvenlik denetimleri gerçekleştirin.
- Kullanıcı Eğitimi: Kullanıcıları USB tabanlı saldırılarla ilişkili riskler ve bilinmeyen veya doğrulanmamış içerikten kaçınmanın önemi konusunda eğitin.
- Ağ izleme: Bir uzlaşmaya işaret edebilecek olağandışı etkinlikleri ve iletişimleri tespit etmek için güçlü ağ izleme uygulayın.
- Güvenlik Politikalarını Güncelleyin: Gelişen tehditleri ele almak ve önleyici tedbirleri güçlendirmek için güvenlik politikalarını düzenli olarak güncelleyin.
UNC4990'ın taktikleri, proaktif ve çok katmanlı bir siber güvenlik yaklaşımına olan ihtiyacın altını çiziyor. Kuruluşlar ve bireyler bilgili kalmalı, tetikte kalmalı ve güvenlik uygulamalarını sürekli olarak yeni ortaya çıkan tehditleri engelleyecek şekilde uyarlamalıdır. tehditler. UNC4990'ın yenilikçi stratejileri karşısında, siber güvenlik direncini artırmaya yönelik kolektif bir çaba çok önemlidir.
