Hackerlar, Petrol ve Gaz Altyapısına Sızmak için Microsoft Aracını Kullanıyor

Araştırmacılar, Microsoft ClickOnce bulut gizlemesi ve RunnerBeacon
adı verilen güçlü arka kapıyı kullanarak enerji sistemlerine saldıran gizli bir zararlı yazılım kampanyasını ortaya çıkardı.

Trellix araştırma ekibi, enerji ve petrol ve gaz şirketlerinin güvenlik sistemlerine sofistike yöntemlerle sızmayı hedefleyen “OneClik” adında yeni bir siber saldırı tespit etti.

Saldırganlar, kullanıcıları sahte bir donanım analiz aracı aracılığıyla zararlı yazılım yüklemeye kandırmak için Microsoft ClickOnce uygulamasını kullanan saldırıları iletmek için balıkçılık e-postalarını kullanır.

Kurban, ‘‘dfsvc.exe’’ çalıştırmadan önce sahte bir araç indirmesini tetikleyen bağlantıyı açar. Meşru Windows işlemi, gelişmiş programlama teknikleri aracılığıyla gizli zararlı yazılımları kabul eder.

Bir kez içeri girdiğinde, zararlı yazılım “RunnerBeacon” adında bir arka kapı yükler, bu da sessizce hacker kontrolündeki sunuculara bağlanır ve bunları Amazon bulut hizmetleri gibi gizler, bu da onu neredeyse algılanamaz hale getirir.

Araştırmacılar, Go programlama dilinde yazılmış olan RunnerBeacon’ın son derece gelişmiş olduğunu belirtiyorlar. Gerçekten de, komutları çalıştırabilir, dosyaları çalabilir, ağ trafiğini ele geçirebilir ve hatta anti-debugging araçlarını ve sistem kontrollerini kullanarak araştırmacılardan saklanabilir.

Araştırmacılar, zararlı yazılımın üç sürüm boyunca evrildiğini ve her yeni sürümün, güvenli bir sanal ortamda çalışıp çalışmadığını tarayan dahil olmak üzere algılanmasını önleme yeteneğini artırdığını bildiriyor.

OneClik’in altyapısı, meşru bulut trafiğiyle bütünleşecek şekilde tasarlanmıştır. Amazon CloudFront ve Lambda hizmetleri, zararlı yazılım iletişimlerini gizlemek için güvendiğimiz kurumsal ağ araçları olarak çalışır.

Ayrıca, “arızi yaşam” yaklaşımı, günlük dijital aktivitelere entegre olarak kaçınma yeteneklerini sağlar, bu da algılamayı daha zor hale getirir.

Araştırmacılar, OneClik’in ardındaki kimliği doğrulayamadıklarını söylüyorlar, ancak bu siber operasyon, kritik altyapı sistemlerini hedefleyen uzun süreli sofistike bir stratejiyi göstermektedir.