Mantı Sarma Makinesi
Siber güvenlik analistleri, Pelmeni adlı tanıdık olmayan bir paketleyici aracılığıyla dağıtılan, yenilikçi stratejileri ve Kazuar Truva Atı'nın kişiselleştirilmiş bir uyarlamasını sergileyen yeni bir Turla kampanyasını ortaya çıkardı.
Rus FSB'ye bağlı bir siber casusluk APT (Gelişmiş Kalıcı Tehdit) grubu olan Turla , titiz hedeflemesi ve değişmez operasyonel hızıyla ünlüdür. Turla, 2004 yılından bu yana küresel ölçekte devlet kurumlarına, araştırma kuruluşlarına, diplomatik misyonlara ve enerji, telekomünikasyon ve ilaç gibi sektörlere odaklanmıştır.
İncelenen harekât, Turla'nın isabetli vuruşlara olan tutkusunun altını çiziyor. İlk sızma büyük olasılıkla daha önceki bulaşmalar yoluyla meydana gelir ve bunu meşru hizmetlerden veya ürünlerden gelen, görünüşte orijinal kitaplıklar içinde kamufle edilmiş tehdit edici bir DLL'nin konuşlandırılması takip eder. Pelmeni Wrapper sonraki zararlı yükün yüklenmesini başlatır.
Pelmeni Paketleyicisi Çeşitli Tehditkar İşlevleri Yürütüyor
Pelmeni Sarmalayıcı aşağıdaki işlevleri sergiliyor:
- Operasyonel Kayıt : Kampanya faaliyetlerini gizlice izlemek için rastgele adlar ve uzantılar içeren gizli bir günlük dosyası oluşturur.
- Yük Teslimatı : İşlevlerin yüklenmesini ve yürütülmesini kolaylaştırmak için sahte rastgele sayı üreteci kullanan özel bir şifre çözme mekanizmasından yararlanır.
- Yürütme Akışı Yeniden Yönlendirme : İşlem iş parçacıklarını yönetir ve yürütmeyi birincil kötü amaçlı yazılımı barındıran şifresi çözülmüş bir .NET derlemesine yeniden yönlendirmek için kod enjeksiyonları sunar.
Turla'nın karmaşık saldırı zincirinin son aşaması, 2017'de ortaya çıktığından beri Turla'nın cephaneliğinin temelini oluşturan çok yönlü bir Truva atı olan Kazuar'ın etkinleştirilmesiyle ortaya çıkıyor. Araştırmacılar, Kazuar'ın konuşlandırılmasında ince ancak önemli ilerlemeler gözlemlediler ve bu da veriler için yeni bir protokolün altını çizdi. kayıt dizinindeki sızıntı ve tutarsızlıklar - yeni varyantı öncekilerden ayırmak için yeterli sapmalar.
