PEAKLIGHT İndirici

Siber güvenlik araştırmacıları, bilgi hırsızları ve yükleyicilerle Windows sistemlerini hedef alan, sonraki kötü amaçlı yazılım aşamalarını dağıtmak üzere tasarlanmış yeni bir dropper keşfettiler.

Bu yalnızca bellek damlatıcısı, PEAKLIGHT olarak tanımlanan PowerShell tabanlı bir indiriciyi şifresini çözer ve çalıştırır. Bu yöntemle dağıtılan kötü amaçlı yazılım türleri arasında Lumma Stealer , Hijack Loader (DOILoader, IDAT Loader veya SHADOWLADDER olarak da bilinir) ve CryptBot bulunur ve bunların hepsi kötü amaçlı yazılım hizmeti (MaaS) modelinin bir parçası olarak sunulur.

İlk Saldırı Vektörü ve Saldırı Zinciri

Saldırı zinciri, kullanıcıların çevrimiçi film araması gibi, drive-by indirme yöntemleriyle indirilen bir Windows kısayolu (LNK) dosyasıyla başlar. Bu LNK dosyaları, korsan filmler olarak gizlenmiş ZIP arşivlerinde paketlenir.

İndirildikten sonra, LNK dosyası, gizlenmiş, yalnızca bellek JavaScript dropper'ı barındıran bir İçerik Dağıtım Ağı'na (CDN) bağlanır. Bu dropper daha sonra kurbanın makinesinde PEAKLIGHT PowerShell indirici betiğini yürütür, bu da daha fazla yükü almak için bir Komuta ve Kontrol (C2) sunucusuyla iletişim kurar.

Araştırmacılar, bazıları meşru mshta.exe ikili dosyasını çağırmak için joker karakter olarak yıldız işareti (*) kullanarak kötü amaçlı kodun (yani, damlalık) uzak bir sunucudan gizlice yürütülmesine izin veren çeşitli LNK dosya varyasyonlarını gözlemlediler.

PEAKLIGHT Tehditkar Eylemini Meşru Filmlerin Ardında Saklıyor

Benzer şekilde, dropper'ların hem hex kodlu hem de Base64 kodlu PowerShell yüklerini içerdiği bulunmuştur. Bu yükler, enfekte olmuş bir sisteme daha sonraki kötü amaçlı yazılımları dağıtmak ve aynı zamanda meşru bir film fragmanını, muhtemelen bir aldatmaca olarak indirmek için tasarlanmış bir araç olan PEAKLIGHT'ı çalıştırmak için açılır.

PEAKLIGHT, çok aşamalı bir yürütme zinciri içinde gizlenmiş bir PowerShell tabanlı indirici olarak işlev görür. Belirli sabit kodlu dosya yollarında ZIP arşivlerini arar. Bu arşivler bulunamazsa, indirici arşiv dosyasını indirmek ve diske kaydetmek için bir CDN sitesiyle iletişim kurar.

Bu, korsan film arayan kullanıcıları hedef alan kötü amaçlı yazılımların ilk örneği değil. Haziran 2024'ün başlarında araştırmacılar, bir film indirme sitesinden bir video dosyası indirme girişiminin ardından Hijack Loader'ın konuşlandırılmasıyla sonuçlanan karmaşık bir enfeksiyon zincirini ortaya çıkardılar.

İndiriciler Daha Özel Kötü Amaçlı Yazılımlara Kapı Açıyor

İndirici kötü amaçlı yazılımlar hem bireyler hem de kuruluşlar için çeşitli önemli tehlikeler oluşturmaktadır:

• İlk Uzlaşma : İndirici kötü amaçlı yazılım genellikle daha büyük bir saldırının ilk aşamasıdır. Kurulduktan sonra, daha gelişmiş kötü amaçlı yazılımlar da dahil olmak üzere ek kötü amaçlı yükleri sessizce indirebilir ve yükleyebilir.
• Veri Hırsızlığı : İndirici kötü amaçlı yazılımların sunduğu ek yükler arasında oturum açma kimlik bilgileri, finansal bilgiler ve kişisel ayrıntılar gibi özel verileri ele geçiren bilgi hırsızları da bulunabilir ve bu da kimlik hırsızlığına ve maddi kayba yol açabilir.
• Sistem Ele Geçirme : Bazı indirici kötü amaçlı yazılımlar, uzaktan erişim araçları veya arka kapılar dağıtmak için tasarlanmıştır ve saldırganların enfekte olmuş sistem üzerinde kontrol sahibi olmasını sağlar. Bu, kurumsal ağlara yetkisiz erişime, veri ihlallerine ve daha fazla sistem ihlaline yol açabilir.
• Fidye Yazılımı Dağıtımı : İndirici kötü amaçlı yazılım, bir kurbanın dosyalarını şifreleyebilen ve bunların serbest bırakılması için fidye ödemesi talep edebilen fidye yazılımlarını yüklemek için kullanılabilir. Bu, önemli veri kaybına ve operasyonel kesintiye neden olabilir.
• Artan Güvenlik Açığı : Bir kez yüklendiğinde, indirici kötü amaçlı yazılım sistem savunmalarını zayıflatabilir ve diğer kötü amaçlı yazılım türlerinin yararlanabileceği güvenlik açıkları oluşturabilir. Bu, saldırganların daha tehlikeli veya kalıcı tehditler dağıtmalarını kolaylaştırır.
• Ağ Yayılımı : İndirici kötü amaçlı yazılım ağlar arasında yayılabilir, aynı ortamdaki diğer cihazları ve sistemleri enfekte edebilir. Bu, yaygın hasara neden olabilir ve düzeltme çabalarının karmaşıklığını artırabilir.
• Kaynak Tüketimi : Kötü amaçlı yazılım, CPU ve bant genişliği gibi sistem kaynaklarını tüketebilir ve bu da performansın düşmesine ve olası hizmet kesintilerine yol açabilir. Bu, üretkenliği etkileyebilir ve operasyonel maliyetleri artırabilir.
• Yasal ve Uyumluluk Riskleri : Enfekte olmuş kuruluşlar, özellikle veri ihlali hassas veya düzenlenmiş bilgileri içeriyorsa, yasal ve uyumluluk sorunlarıyla karşı karşıya kalabilir. Bu, para cezalarına, yasal işlemlere ve itibar kaybına neden olabilir.

Genel olarak, indirici kötü amaçlı yazılımlar, daha fazla saldırıyı kolaylaştırma ve etkilenen sistem ve ağların güvenliğini ve bütünlüğünü etkileme rolü nedeniyle ciddi bir tehdittir.