Trojan.CobaltStrike.GT

Trojan.CobaltStrike.GT , 10 üzerinden 8 tehlike seviyesine sahip bir Windows Truva atıdır. Besleme verilerine göre, kendini gizlice kurar ve arka planda sessizce çalışır. Adı, saldırganlar tarafından yaygın olarak kötüye kullanılan bir araç olan Cobalt Strike ile bağlantılı olduğunu düşündürmektedir. Besleme, bu örneğin pratikte nasıl kullanıldığını belirtmediğinden, aşağıdaki verilerin ötesindeki ayrıntılar tipik Truva atı davranışını açıklamaktadır.

Tehdidin yaptığı şey

Açıklamada, Truva atının arka planda sessizce çalıştığı ve kötü amaçlı işlevler gerçekleştirdiği belirtiliyor. Bu durum, bilgisayar korsanlarına enfekte olmuş bir sistem üzerinde tam kontrol sağlayabilir. Açıklamada ayrıca dosyaları gizlice silebileceği de belirtiliyor, ancak bundan sonraki metin kesildiği için eylemlerin tam listesi bilinmiyor.

Analiz edilen numunenin teknik özellikleri şunlardır:

• Fonksiyonları dışa aktaran 64 bitlik yerel bir Windows DLL'si (bir .NET uygulaması değil).
• Konsol alt sistemi dosyası olarak oluşturuldu, paketlenmedi.
• Dijital imza yok, hata ayıklama bilgisi yok ve yer değiştirme bilgisi yok.
• Dosya yazma, sanal belleği sorgulama ve serbest bırakma, işlem bilgilerini sorgulama gibi işlevler de dahil olmak üzere, ntdll.dll'deki düşük seviyeli sistem işlevlerini doğrudan çağırır.

Düşük seviyeli sistem çağrılarının doğrudan kullanımı, genellikle izleme araçlarından kaçınmaya çalışan yazılımlarda görülür, ancak burada amaç belirtilmemiştir. Analiz edilen 16 kod bloğundan 11'i potansiyel olarak kötü amaçlı olarak işaretlenmiş, 5'i ise beyaz listeye alınmıştır. Hiçbiri bilinmeyen olarak değerlendirilmemiştir.

Bilgisayarlara genellikle nasıl bulaşıyor?

Haber kaynağına göre bu Truva atı en sık şu yollardan biriyle bulaşıyor:

• Sistemdeki güvenlik açıklarından ve zafiyetlerden yararlanarak.
• Zararlı web sitelerinden yazılım indirmeleri yoluyla.
• Genellikle .exe, .pif, .avi ve hatta .jpg dosyaları olmak üzere, güvenilmeyen kaynaklardan gelen e-posta ekleri aracılığıyla.

Zararlı bir dosyayı resim veya video gibi gizlemek, insanların dosyayı açmasını sağlamak için kullanılan tipik bir yöntemdir.

Kullanıcı için riskler

En büyük tehlike, bilgisayar üzerindeki kontrolün kaybedilmesidir. Saldırgan tam erişim sağlarsa, bu tür Truva atlarının tipik sonuçları şunlardır:

• Kişisel verilerin, şifrelerin ve finansal bilgilerin çalınması.
• Dosyaların silinmesi veya değiştirilmesi.
• Diğer zararlı yazılımların yüklenmesi.
• Bilgisayarın, aynı ağdaki diğer cihazlara saldırmak için bir basamak olarak kullanılması.

Bu sonuçlar uzaktan erişim tehditleri için tipiktir ve açıklamada belirtilen kontrol ve dosya silme işlemleri dışında bu özel örnek için doğrulanmamıştır.

Enfeksiyon belirtileri

Truva atı gizli kalacak şekilde tasarlanmıştır, bu nedenle belirgin belirtileri olmayabilir. Bu tür bir tehdit için tipik uyarı işaretleri şunlardır:

• Açıklanamayan yavaşlamalar veya yüksek CPU veya ağ etkinliği.
• Açıklama yapılmadan kaybolan veya değişen dosyalar.
• Bilinmeyen işlemler veya DLL dosyaları çalışıyor.
• Güvenlik ayarları sizin müdahaleniz olmadan değiştiriliyor.
• Beklenmeyen giden bağlantılar.

Belirtiler genellikle görülmediğinden, güncel ve güvenilir bir kötü amaçlı yazılım tarama aracıyla tam tarama yapmak en güvenilir kontrol yöntemidir.

Nasıl korunabilirsiniz?

1. Windows'u ve yüklü tüm yazılımları güncel tutun, çünkü Truva atı bilinen güvenlik açıklarından faydalanabilir.
2. Yazılım indirme işlemlerini yalnızca resmi kaynaklardan yapın ve bilinmeyen web sitelerinden uzak durun.

Virüs bulaştığından şüpheleniyorsanız, bilgisayarın internet bağlantısını kesin, tam tarama yapın ve önemli şifrelerinizi temiz bir cihazdan değiştirin. Bilgisayarda hassas veriler varsa, saldırgana tam uzaktan kontrol verilmiş olabileceği için profesyonel yardım almayı düşünün.