Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), Asya'daki bir ülkede kamu kurumlarına özel hazırlanan Windows 10 sürümünü hedef alan siber saldırıyı ortaya çıkardı. Şirketin açıklamasına göre saldırganlar, meşru yazılım bileşenlerinden yararlanarak daha önce bilinmeyen NetamLoader adlı kötü amaçlı yazılım altyapısını devreye soktu.
Söz konusu altyapı, faaliyetlerini gizleyerek arka planda ek zararlı kodları indirebiliyor ve çalıştırabiliyor. Kaspersky'nin tehdit izleme ağı üzerinden saldırının bir kurbanı tespit edildi. Araştırmacılar, elde edilen bulgular doğrultusunda saldırıyı bilinen herhangi bir tehdit grubuyla ilişkilendiremedi.
NetamLoader, özel Windows 10 sürümü için geliştirildi
Araştırmada, zararlı yazılımın hedef alınan işletim sistemine özel olarak hazırlandığı belirlendi. NetamLoader'ın gerçekleştirdiği işlemler arasında, sistemin kendi güncelleme bileşenine ait günlük kayıtlarında bulunan belirli girdilerin silinmesi de yer aldı.
Kaspersky'nin incelemesi, bu yılın ilk yarısında Windows güncelleme klasöründeki bir arşiv dosyasında şüpheli yapılandırma dosyasının bulunmasıyla başladı. Arşivde, üçüncü taraf yama yönetim aracı Patch My PC'nin bileşenleri ve Microsoft tarafından imzalanmış bir modül de dahil olmak üzere çoğunluğu meşru yazılımlardan oluşan programlar tespit edildi.
Saldırganların, değiştirilmiş yardımcı dosyalar üzerinden bu programların zararlı talimatları yüklemesini sağladığı anlaşıldı. Arşivin bulunduğu dizin ve içerdiği dosyalar, yazılımların dağıtım veya güncelleme süreçlerinin kötüye kullanılmış olabileceğine işaret etti. Bu durum, olası bir yazılım tedarik zinciri saldırısı ihtimalini gündeme getirdi.
Bununla birlikte araştırmacılar, arşivin kurbanın sistemine hangi yolla ulaştığını belirleyemedi. Kaspersky'nin elde ettiği veriler, Patch My PC'nin veya bu yazılımın dağıtım sistemlerinin ele geçirildiğini de göstermedi.
Zararlı yazılım, faaliyetlerini gizlemek için farklı yöntemler kullanıyor
NetamLoader, zararlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme aşamasından geçirerek açığa çıkarıyor. Daha sonra yürütme işlemini meşru bir Windows sürecine aktarıyor. Bu yöntem, zararlı faaliyetin ilk programla ilişkilendirilmesini zorlaştırıyor.
Yazılım çerçevesi, kötü amaçlı yazılım tarama işlevlerinden birine de müdahale ediyor. Ayrıca araştırmacıların saldırıyı yeniden oluşturmasına yardımcı olabilecek dosyaları siliyor.
NetamLoader etkinleştirildikten sonra saldırganların kontrolündeki bir sunucuyla bağlantı kurarak ek talimatlar ve yapılandırma değişiklikleri alıyor. Araştırmacıların incelediği yapılandırma dosyasında, ilk bağlantı girişiminden önce 20 ila 40 dakika arasında değişen bir bekleme süresi bulundu.
Sunucudan geçerli yanıt alınamaması halinde zararlı yazılım, yeni bir deneme yapmadan önce 22 ila 28 saat bekliyor. Bu uzun aralıklar, kısa süreli izleme çalışmalarında tespit edilebilecek ağ hareketliliğini sınırlayabiliyor.
Kaspersky'den güncelleme kanallarının güvenliğine dikkat çeken açıklama
Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin, açıklamasında teknolojik egemenliğin birçok hükümet için öncelikli hale geldiğini belirtti. Hükümetlerin kendilerine özel platformlar kullanmasının kontrol imkanı sağladığını ifade eden Lozhkin, bu sistemlerin güvenliğinin bütün bileşenleriyle ele alınması gerektiğini kaydetti.
Lozhkin, değerlendirmesinde şu ifadeleri kullandı:
“Ancak bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği anlamına da geliyor. Böyle bir ekosistemin olgunlaşması ise zaman alıyor. Bu vaka, savunma ekiplerinin yalnızca her bir programın meşru olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor.”
