ESET, Çin ilişkili yeni bir tehdit kümesini ortaya çıkardı

0

BEĞENDİM

ABONE OL

News

0

Siber güvenlik şirketi ESET, Çin irtibatlı yeni bir Gelişmiş Kalıcı Tehdit (APT) Kümesi keşfetti. LongNosedGoblin ismi verilen kümenin  Güneydoğu Asya ve Japonya’da siber casusluk araçları kullandığı ve devlet kurumlarını maksat aldığı paylaşıldı.

ESET Research, Windows makinelerindeki ayarları ve müsaadeleri yönetmek için çoklukla Active Directory ile birlikte kullanılan bir sistem olan Küme Prensibini berbata kullanarak berbat hedefli yazılımları dağıtmak ve taarruza uğramış ağda yatay olarak hareket etmek için yeni bir Çin irtibatlı APT kümesi olan LongNosedGoblin’i keşfetti. Küme, Güneydoğu Asya ve Japonya’daki devlet kurumlarının ağlarına siber casusluk araçları dağıtmak için kullanılıyor. 

2024 yılında, ESET araştırmacıları Güneydoğu Asya’daki bir devlet kurumunun ağında daha evvel belgelenmemiş bir makus maksatlı yazılım fark etti. Kümenin Eylül 2023’ten beri faal durumda olduğu düşünülüyor. ESET, Eylül 2025 prestijiyle kümenin bölgedeki faaliyetlerinin yine başladığını gözlemlemeye başladı. Küme, ele geçirilen ağda ve Komuta ve Denetim (C&C) için bulut hizmetlerinde (ör. Microsoft OneDrive ve Google Drive) makus maksatlı yazılım yayıyor. 

LongNosedGoblin’in cephaneliğinde birkaç araç bulunuyor. NosyHistorian, kümenin Google Chrome, Microsoft Edge ve Mozilla Firefox’tan tarayıcı geçmişini toplamak için kullandığı bir C#/.NET uygulaması. Bu bilgiler, öteki berbat emelli yazılımların nereye yerleştirileceğini belirlemek için kullanılıyor. NosyDoor, makine ismi, kullanıcı ismi, işletim sistemi sürümü ve mevcut sürecin ismi dâhil olmak üzere kurbanın makinesiyle ilgili meta dataları toplar ve tümünü C&C’ye gönderir. Akabinde C&C’den komutlar içeren vazife belgelerini alır ve ayrıştırır. Komutlar, belgeleri sızdırmasına, evrakları silmesine ve kabuk komutlarını yürütmesine imkan tanır.

NosyStealer, Microsoft Edge ve Google Chrome’dan tarayıcı bilgilerini çalmak için kullanılır. NosyDownloader, bir dizi gizlenmiş komutu yürütür ve belleğe bir yük indirip çalıştırır. LongNosedGoblin tarafından kullanılan öteki araçların yanı sıra ESET, açık kaynaklı keylogger DuckSharp’ın değiştirilmiş bir versiyonu üzere görünen C#/.NET keylogger NosyLogger’ı da tespit etti. Küme tarafından kullanılan başka araçlar ortasında aykırı SOCKS5 proxy ve ses ve görüntü yakalamak için muhtemelen FFmpeg üzere bir görüntü kaydedici çalıştırmak için kullanılan bir argüman çalıştırıcı (argüman olarak geçirilen bir uygulamayı çalıştıran bir araç) bulunmaktadır. 

LongNosedGoblin’i Peter Strýček ile birlikte araştıran ESET araştırmacısı Anton Cherepanov  “Farklı teknikler kullanarak ve Yandex Disk bulut hizmetini C&C sunucusu olarak kullanan, bir AB ülkesindeki bir kuruluşu gaye alan öbür bir NosyDoor varyantı örneği de tespit ettik. Bu NosyDoor varyantının kullanılması, makûs gayeli yazılımın Çin ile irtibatlı birden fazla tehdit kümesi ortasında paylaşılabileceğini gösteriyor” açıklamasını yaptı.

Kaynak: (BYZHA) Beyaz Haber Ajansı