Siber saldırılarda yeni dönem: Yem olarak Snake oyunu!

İran destekli MuddyWater adlı hacker grubu, İsrail ve Mısır’daki kritik altyapıları hedef alan saldırılarında dikkat çekici bir yöntem değişikliğine gitti.

ESET Research’ün önceki analizlerinde, grubun kullandığı taktik, teknik ve prosedürlerin oldukça gürültülü ve kolay tespit edilebilir olduğu belirtiliyordu. Ancak son saldırı dalgasında grup, çok daha gizli ilerleyen yeni araçlara yöneldi.

Yeni arka kapı: Fooder yükleyicisi ve MuddyViper

Saldırılarda kullanılan yeni arka kapı, Fooder adlı bir yükleyici üzerinden sisteme sızıyor. Fooder’ın ilginç bir özelliği ise çoğu zaman kendisini klasik Snake (yılan) oyunu gibi göstermesi.

Bu sahte görünüm yalnızca bir kamuflaj değil; Snake oyununun temel yapısından yararlanılarak özel bir gecikme fonksiyonu oluşturuluyor ve bu sayede yükleyicinin gerçek amacı analiz araçlarından daha iyi saklanıyor.

Fooder’ın yüklediği MuddyViper ise daha önce raporlanmamış yeni bir backdoor. C/C++ ile geliştirilen MuddyViper;

• sistem bilgilerini topluyor,

• dosya indirip yükleyebiliyor,

• komut çalıştırabiliyor,

• sahte bir Windows Güvenlik penceresi göstererek Windows kimlik bilgilerini ve tarayıcı verilerini çalabiliyor.

Spear Phishing ile ilk temas

MuddyWater saldırılarının başlangıç noktası genellikle hedef odaklı oltalama e-postaları (spear phishing) oldu. Bu e-postalarda PDF ekleri bulunuyor ve kullanıcılar bu PDF’lerdeki bağlantılar üzerinden uzaktan izleme/yönetim (RMM) yazılımlarına yönlendiriliyordu.

Dosyalar OneHub, Egnyte, Mega gibi ücretsiz depolama servislerinde barındırılıyordu. Ancak indirilen dosyalar gerçek RMM yazılımları yerine yükleyicileri sistemlere kuruyor ve saldırganların arka kapıları yerleştirmesine imkân tanıyordu.

Hedefler: İsrail ve Mısır’da kritik sektörler

Bu kampanyada grup, İsrail’de 17 farklı kurumu hedef aldı. Hedef alınan sektörler arasında:

• mühendislik,

• yerel yönetimler,

• üretim,

• teknoloji,

• ulaşım,

• enerji ve kamu hizmetleri,

• üniversiteler…

yer alıyor.

Ayrıca Mısır’da teknoloji alanında faaliyet gösteren bir kuruluş da saldırıların hedefi oldu.

Kampanyaya dair daha kapsamlı analiz ve saldırı göstergeleri için ESET’in hazırladığı “MuddyWater: Snakes by the riverbank” başlıklı araştırma incelenebilir.