Carbanak Hackerları ABD Genelindeki Restoran Zincirlerine Saldırmak için Bateleur Kötü Amaçlı Yazılımını kullanıyor
Carbanak adıyla anılan bir bilgisayar korsanlığı grubu, ABD'deki restoran zincirlerinin sunucularına sızmayı misyon edinmiştir. Bu kötü şöhretli siber dolandırıcılara aşina değilseniz, onları tanıtmamız çok önemlidir. Kötü amaçlı yazılım saldırısı, kötü kodlanmış kötü amaçlı yazılımlarla küçük ölçekli saldırılar gerçekleştiren yalnızca günlük bilgisayar korsanlarınız değildir. Hayır, hayır, Carbanak büyük ligde. Korsanlık grubu ilk olarak 2014 yılında Rus siber güvenlik şirketi Kaspersky Lab tarafından tespit edildi. Carbanak normal kullanıcıları değil, büyük finans kurumlarını hedefliyor. Saldırılarını gerçekleştirmenin olağan yöntemi, e-posta kimlik avı dolandırıcılıklarıdır. Yasadışı faaliyetlerinden elde ettikleri toplam tutarın tam olarak ne olduğunu tahmin etmek zor, ancak 500 milyon ile 1 milyar dolar arasında bir yerde olduğuna inanılıyor. Carbanak'ın içinde bulunduğu siber suçun kapsamına ışık tutan bu bilgilerle söz konusu saldırının detaylarına geçelim.
Bateleur Nasıl Bulaşır?
Bugün bahsettiğimiz kimlik avı dolandırıcılığı ilk olarak Proofpoint'teki uzmanlar tarafından keşfedildi. Kötü amaçlı yazılıma bir kartal türünün adını verdiler - Bateleur. İşte her şey böyle başlıyor - hedeflenen restoran görünüşte zararsız bir e-posta alıyor. E-postanın kendisi büyük olasılıkla herhangi bir şüpheye neden olmaz - bir Gmail veya Outlook adresinden gönderilir. Daha önce tartışılmış olduğu varsayılan bir çekle ilgili olduğunu iddia ediyor. Alıcıyı bunun aslında çek olduğunu düşünmesi için kandırmayı amaçlayan bir Word belgesi içerir. Tehlikeli hale geldiği yer burasıdır - sahte e-posta iletisine eklenen belge şifrelenir ve ayrıca dosyanın 'Google Documents Protect Hizmeti' veya 'Outlook Koruma Hizmeti' tarafından korunduğunu belirten bir uyarı içerir (bağlı olarak saldırganların mesajı göndermek için kullandığı sağlayıcı). Bununla birlikte, bu 'koruma hizmetlerinin' hiçbiri mevcut değildir ve amacı kurbanı açmak üzere oldukları dosyanın meşru olduğunu düşünerek aldatmak olan basit ama kurnaz bir hileden başka bir şey değildir. Belgenin altında kullanıcılar, kurbanı dosyanın güvenilir olduğuna daha fazla ikna etmek için oraya yerleştirilmiş bazı popüler antivirüs ürün satıcılarının logolarını bulacaklar. Belge, kurbandan düzenlemeyi etkinleştirmesini isteyecektir ve kullanıcının Carbanak'ın aldatmacasına düşmesi durumunda belge, kötü amaçlı yükünü dağıtmaya devam eder.
Bateleur'un Hücum ve Savunma Yetenekleri
Bateleur kurbanın sisteminde yolunu bulduğunda çalışmaya başlar. Bu tehdit, emrinde bir dizi tespit önleme aracına sahip olduğu için özellikle aldatıcıdır. Bateleur, kötü amaçlı yazılım araştırmacılarının tehditleri incelemek ve onlarla savaşmak için araçlar geliştirmek için kullandıkları kontrollü bir ortam olan bir sanal alanda olup olmadığını anlayabilir. Durum buysa, Bateleur süreçlerini durdurur ve böylece kötü amaçlı yazılım uzmanlarının onu ayırmasını engeller. Kurnaz yeteneklerinden bir diğeri de gizlemedir. Bu, bir tehdidin kodunu gizleme ve bu nedenle onu analiz etmeyi neredeyse imkansız hale getirme yeteneğidir.
Bateleur'un savunma yeteneklerini listeledikten sonra, tehdidin saldırı gücüne geçme zamanı. Truva Atı, kurbanın bilgisayar yapılandırması ve çalışan süreçleri ile ilgili önemli bilgileri dışarı çıkarabilir. Buna ek olarak, uzaktaki saldırganlara komutları ve PowerShell komut dosyalarını yürütme yeteneği sağlar. Dahası, Bateleur çekirdek modüllerini tamamen güncelleyebilir ve hatta kendini kaldırabilir. Truva Atı, önemli gördüğü verilerin ekran görüntülerini alabilir ve Carbanak'ın kontrol sunucularına gönderir . Bateleur'un ayrıca şifreleri çalabilmesi amaçlanmıştır, ancak mevcut sürümünde bu özel işlevi etkinleştirmek için gereken belirli modüller bulunmamaktadır. Ancak, Carbanak'ın hangi seviyede çalıştığını bilen kötü amaçlı yazılım uzmanları, bunun yakında Bateleur'a eklenmesini bekliyor.
Carbanak'ın Bateleur'u olabildiğince aşılmaz hale getirmek için aldığı tüm güvenlik önlemleri göz önüne alındığında, bu Truva Atı, çoğu yazılımlarını güncel tutmanın önemini anlamayan işletmeler ve kurumlar için büyük bir tehdit oluşturmaya devam edecek gibi görünüyor. tarih ve saygın bir güvenlik paketi satın alma.