Batavia Casus Yazılım
Temmuz 2024'ten bu yana Rus kuruluşlarını aktif olarak hedef alan karmaşık bir siber casusluk kampanyası yürütülüyor. Operasyonun merkezinde, meşru sözleşme teklifleri gibi görünmek üzere tasarlanmış aldatıcı e-postalar aracılığıyla dağıtılan, daha önce belgelenmemiş Batavia adlı bir casus yazılım yer alıyor.
İçindekiler
Enfeksiyon Zinciri: E-postadan Casusluğa
Saldırı, saldırganın kontrolündeki oblast-ru.com alan adından gönderilen, özenle hazırlanmış kimlik avı e-postalarıyla başlıyor. Bu mesajlar, alıcıları sahte bir sözleşme imzalama isteğiyle cezbediyor ve kötü amaçlı bir bağlantı içeriyor. Bağlantıya tıklandığında, Visual Basic Encoded betiği (.VBE dosyası) içeren bir arşiv dosyası indiriliyor.
Betik çalıştırıldığında, ana bilgisayar sistemi hakkında ayrıntılı bilgi toplayıp bunları uzak bir sunucuya ileterek keşif gerçekleştirir. Bu işlem, Delphi'de yazılmış bir yürütülebilir dosya olan ikincil bir yükün indirilmesini tetikler.
Delphi Kötü Amaçlı Yazılımı: Dikkat Dağıtma ve Veri Hırsızlığı
Delphi tabanlı kötü amaçlı yazılım, kurbanın ilgisini canlı tutmak için sahte bir sözleşme sunuyor. Bu arada, aşağıdakiler de dahil olmak üzere çeşitli hassas bilgileri gizlice topluyor:
- Sistem günlükleri ve yüklü yazılım bilgileri
- Microsoft Office ve diğer belge türleri (*.doc, *.docx, *.ods, *.odt, *.pdf, *.xls, *.xlsx)
- Ana bilgisayara bağlı herhangi bir çıkarılabilir cihazdan ekran görüntüleri ve veriler
Kötü amaçlı yazılımın işlevi bununla sınırlı değil. Komuta ve Kontrol sunucusundan ek bir ikili dosya da indiriyor. Bu dosya, sızdırılmak üzere çok daha geniş bir dosya türü yelpazesini toplamak üzere tasarlanmış.
Genişletilmiş Dosya Toplama Yetenekleri
İkinci aşama ikilisi, çalınan verilerin kapsamını önemli ölçüde genişleterek şunları içerir:
- Görüntüler ve grafik dosyaları: *.jpeg, *.jpg, *.cdr
- E-postalar ve metin tabanlı içerik: *.eml, *.csv, *.txt, *.rtf
- Sunumlar ve arşivler: *.ppt, *.pptx, *.odp, *.rar, *.zip
Toplanan tüm bilgiler, dördüncü aşama yürütülebilir dosyasının teslimat noktası olarak da hizmet veren ru-exchange.com adlı farklı bir alan adına aktarılıyor. Bu bilinmeyen bileşen, muhtemelen saldırı zincirini daha fazla kötü amaçlı eylemle sürdürüyor.
Yaygın Etki ve Toplanan Veriler
Geçtiğimiz yıl boyunca, onlarca kuruluştan 100'den fazla kullanıcı bu kimlik avı mesajlarının hedefi oldu. Son yük, yalnızca kişisel ve kurumsal belgeleri değil, aynı zamanda şunları da sızdırarak kapsamlı veri toplamayı garantiliyor:
- Yüklü yazılımların tam envanteri
- Aygıt sürücüleri hakkında bilgi
- İşletim sistemi bileşen ayrıntıları
Sonuç: Koordineli ve Gelişen Bir Casusluk Tehdidi
Batavia casus yazılım saldırısı, Rusya'daki kurumsal güvenliğe yönelik koordineli ve sürekli bir tehdidi yansıtıyor. Çok aşamalı enfeksiyon zinciri, geniş bir dosya yelpazesi ve sistem istihbaratı elde etme yeteneğiyle birleştiğinde, onu zorlu bir casusluk aracı haline getiriyor. Kuruluşlar, bu tür gelişmiş ve aldatıcı saldırılara karşı savunmak için tetikte olmalı ve proaktif güvenlik önlemleri almalıdır.
