Giriş
Kuzey Koreli siber suç grubu Konni, blockchain sektöründeki geliştiricileri hedef alarak yapay zeka destekli PowerShell zararlısı kullanıyor. Bu durum, siber güvenlik alanında önemli bir tehdit oluşturmakta ve geliştiricilerin dikkatli olmalarını gerektirmektedir.
Saldırı Nasıl Çalışıyor?
Saldırı, kurbanın Discord üzerindeki bir bağlantıyı tıklamasıyla başlıyor. Bu bağlantı, içeriğinde bir PDF tuzağı ve zararlı bir LNK kısayol dosyası içeren bir ZIP arşivi sunuyor. LNK dosyası, bir gömülü PowerShell yükleyicisi çalıştırarak bir DOCX belgesi ve bir CAB arşivi içindeki bir PowerShell geri kapısı, iki toplu iş dosyası ve bir UAC geçişi çalıştırılabilir dosyasını çıkarıyor.
- Kurban bağlantıyı tıkladığında, ZIP arşivi indirilir.
- LNK dosyası çalıştırıldığında, DOCX açılır ve arşivdeki toplu iş dosyalarından biri çalıştırılır.
- İlk toplu iş dosyası bir geri kapı için staging dizini oluşturur.
- İkinci toplu iş dosyası, maskelediği bir OneDrive başlangıç görevini saatlik zamanlayarak oluşturur.
Yürütme tamamlandığında, malware kendisini silerek enfeksiyon izlerini temizler.
Etkilenen Sistemler
Konni’nin kampanyası, Asya-Pasifik bölgesindeki hedeflere odaklanmıştır ve bu malware örnekleri Japonya, Avustralya ve Hindistan’dan gönderilmiştir. Grupla bağlantılı APT37 ve Kimsuky faaliyet kümesi, Güney Kore, Rusya, Ukrayna ve Avrupa’nın diğer bölgelerinde aktif olmuştur.
AI-Üretimli Geri Kapı
Zararlı PowerShell geri kapısı, aritmetik tabanlı dize kodlaması ve çalışma zamanında dize yeniden yapılandırması gibi yöntemlerle yoğun bir şekilde gizlenmiştir. Araştırmacılar, bu durumun yapay zeka destekli bir geliştirme sürecine işaret ettiğini belirtmektedir.
- Kodun başındaki belgeler, zararlı yazılım geliştirme için alışılmadık bir durumdur.
- Modüler ve düzenli bir yapıya sahiptir.
- Zararlı yazılım, analitik ortamda çalışmadığını doğrulamak için donanım ve yazılım kontrolü yapar.
Geri kapı, enfekte cihazda çalıştığında, komut kontrol (C2) sunucusuyla iletişim kurarak temel ana bilgisayar verilerini gönderir ve rastgele aralıklarla sunucuyu sorgular.
Çözüm ve Korunma
Bu tehditlerden korunmak için aşağıdaki adımlar atılmalıdır:
- Güncellemeleri Yükleyin: Tüm yazılımlarınızı en son versiyonlarına güncelleyerek güvenlik açıklarını kapatın.
- Portları Kapatın: Gereksiz port ve hizmetleri devre dışı bırakın.
- Eğitim ve Farkındalık: Kullanıcıları, zararlı e-postalar ve üçüncü taraf bağlantılara karşı bilinçlendirin.
Sistemlerinizde bu tür saldırılara karşı proaktif önlemler alarak varlıklarınızı güvence altına alabilirsiniz.
