Orta Doğu ve Afrika’daki birden fazla ülkede telekom, internet servis sağlayıcıları ve üniversiteleri hedef alan saldırılarla ilişkilendirilen, kaynağı bilinmeyen, daha önce belgelenmemiş bir tehdit aktörü.

SentinelOne’dan araştırmacılar, “Operatörler, operasyon güvenliğinin son derece farkında, kurban başına dikkatlice bölümlere ayrılmış altyapıyı yönetiyor ve güvenlik çözümlerinin varlığında karmaşık karşı önlemleri hızla dağıtıyor.” söz konusu yeni bir raporda.

Siber güvenlik firması grubu kodladı metador kötü amaçlı yazılım örneklerinden birindeki “Ben metayım” dizesine atıfta bulunarak ve komut ve kontrol (C2) sunucularından gelen İspanyolca yanıtları nedeniyle.

Tehdit aktörünün, casusluk amaçları doğrultusunda öncelikle platformlar arası kötü amaçlı yazılım geliştirmeye odaklandığı söyleniyor. Kampanyanın diğer ayırt edici özellikleri, sınırlı sayıda izinsiz giriş ve hedeflere uzun vadeli erişimdir.

Bu, metaMain ve Mafalda adlı, bellek içi çalışmak ve algılamadan kaçınmak için açıkça tasarlanmış iki farklı Windows kötü amaçlı yazılım platformunu içerir. metaMain ayrıca 67 komutu destekleyen esnek bir etkileşimli implant olan Mafalda’yı dağıtmak için bir kanal görevi görür.

metaMain, kendi adına zengin özelliklere sahiptir ve düşmanın uzun vadeli erişimi sürdürmesini, tuş vuruşlarını kaydetmesini, rastgele dosyaları indirip yüklemesini ve kabuk kodunu yürütmesini sağlar.

Mafalda’nın geliştiricileri tarafından aktif olarak sürdürüldüğünün bir işareti olarak, kötü amaçlı yazılım, Nisan ve Aralık 2021’de derlenen iki değişken arasında 13 yeni komut için destek alarak kimlik bilgisi hırsızlığı, ağ keşfi ve dosya sistemi manipülasyonu için seçenekler ekledi.

Saldırı zincirleri, güvenliği ihlal edilmiş ortamdan bilgi toplamak ve onu Mafalda’ya geri yönlendirmek için kullanılan bilinmeyen bir Linux kötü amaçlı yazılımını da içeriyor. İzinsiz girişleri kolaylaştırmak için kullanılan giriş vektörü henüz bilinmiyor.

Dahası, dahili komutun Mafalda belgelerindeki referanslar, geliştiriciler ve operatörler arasında sorumlulukların net bir şekilde ayrılmasını önerir. Nihayetinde, Metador’un atıfları “karmaşık bir gizem” olmaya devam ediyor.

Araştırmacılar Juan Andres Guerrero-Saade, Amitai Ben Shushan Ehrlich ve Aleksandar Milenkoski, “Ayrıca, kötü amaçlı yazılımın teknik karmaşıklığı ve aktif gelişimi, birden fazla çerçeveyi elde edebilen, sürdürebilen ve genişletebilen iyi kaynaklara sahip bir gruba işaret ediyor” dedi.

LABSCON – Scottsdale, Ariz. – Orta Doğu’daki bir telekomünikasyon şirketine ve Orta Doğu ve Afrika’daki birden fazla İnternet servis sağlayıcısına ve üniversiteye bulaşan yeni bir tehdit aktörü, iki “son derece karmaşık” kötü amaçlı yazılım platformundan sorumludur. Bugün burada ortaya çıkan yeni araştırmaya göre, gizem içinde kalan grup.

İlk LabsCon güvenlik konferansında bulgularını paylaşan SentintelLabs araştırmacıları, kötü amaçlı kodda görünen “Ben metayım” ifadesine ve sunucu mesajlarının tipik olarak İspanyolca olmasına dayanarak grubu Metador olarak adlandırdı. Grubun Aralık 2020’den beri aktif olduğuna inanılıyor, ancak son birkaç yılda radarın altında başarılı bir şekilde uçtu. SentinelLabs’ın kıdemli direktörü Juan Andrés Guerrero-Saade, ekibin Metador hakkında diğer güvenlik firmaları ve hükümet ortaklarındaki araştırmacılarla bilgi paylaştığını, ancak kimsenin grup hakkında hiçbir şey bilmediğini söyledi.

Guerrero-Saade ve SentinelLabs araştırmacıları Amitai Ben Shushan Ehrlich ve Aleksandar Milenkoski bir yayınladı. Blog yazısı ve teknik detaylar iki kötü amaçlı yazılım platformu, metaMain ve Mafalda hakkında, enfekte olmuş daha fazla kurban bulma umuduyla. Guerrero-Saade, “Şimdi nerede olduklarını değil, nerede olduklarını biliyorduk” dedi.

MetaMain, fare ve klavye etkinliğini günlüğe kaydedebilen, ekran görüntüleri alabilen ve veri ve dosyaları sızdırabilen bir arka kapıdır. Saldırganlara sistem ve ağ bilgilerini ve diğer ek yetenekleri toplama yeteneği sağlayan oldukça modüler bir çerçeve olan Mafalda’yı kurmak için de kullanılabilir. Hem metaMain hem de Mafalda tamamen bellekte çalışır ve kendilerini sistemin sabit diskine kurmazlar.

siyasi çizgi roman

Kötü amaçlı yazılımın adının, Arjantin’de düzenli olarak siyasi konular hakkında yorum yapan popüler bir İspanyolca çizgi film olan Mafalda’dan ilham aldığına inanılıyor.

Metador, her kurban için benzersiz IP adresleri ayarlayarak bir komut ve kontrol açığa çıkarılsa bile altyapının geri kalanının çalışır durumda kalmasını sağlar. Bu da diğer kurbanları bulmayı son derece zorlaştırıyor. Araştırmacılar genellikle saldırı altyapısını ortaya çıkardığında, birden fazla kurbana ait bilgileri bulur ve bu da grubun faaliyetlerinin kapsamını belirlemeye yardımcı olur. Metador, hedef kampanyalarını ayrı tuttuğu için, araştırmacıların Metador’un operasyonları ve grubun ne tür kurbanları hedeflediği konusunda yalnızca sınırlı bir görüşü vardır.

Ancak grubun umrunda değil gibi görünen şey, diğer saldırı gruplarıyla karışmak. Araştırmacılar, Metador’un kurbanlarından biri olan Orta Doğu telekomünikasyon şirketinin en az 10 diğer ulus devlet saldırı grubu tarafından ele geçirildiğini buldu. Diğer grupların birçoğunun Çin ve İran ile bağlantılı olduğu ortaya çıktı.

Aynı sistemi hedefleyen birden fazla tehdit grubuna, çeşitli grupları ve kötü amaçlı yazılım platformlarını aynı anda çekip barındırdıkları için bazen “tehdit mıknatısı” olarak anılır. Birçok ulus-devlet aktörü, kendi saldırı faaliyetlerini gerçekleştirmeden önce, diğer grupların kullandığı kusurları yamamaya kadar gitse bile, diğer grupların enfeksiyon izlerini ortadan kaldırmak için zaman ayırır. SentinelLabs araştırmacıları, Metador’un diğer gruplar tarafından zaten güvenliği ihlal edilmiş (tekrar tekrar) bir sisteme kötü amaçlı yazılım bulaştırması, grubun diğer grupların ne yapacağını umursamadığını gösteriyor.

Aynı sistemde birden fazla grubun bulunması, mağdurun yanlış bir şey fark etme olasılığını artırdığından, telekomünikasyon şirketinin yüksek değerli bir hedef olması ve grubun tespit edilme riskini almaya istekli olması olasıdır.

Köpekbalığı saldırısı

Grup, kötü amaçlı yazılımın teknik karmaşıklığı, grubun tespit edilmekten kaçınmak için gelişmiş operasyonel güvenliği ve aktif geliştirme aşamasında olduğu gerçeğiyle kanıtlandığı gibi son derece iyi kaynaklara sahip gibi görünse de Guerrero-Saade bunun yeterli olmadığı konusunda uyardı. ulus-devlet müdahalesi olduğunu belirlemek için. Geurrero-Saade, grubun son derece profesyonel olduğuna dair işaretler olduğu için Metador’un bir ulus devlet adına çalışan bir müteahhitin ürünü olabileceğini söyledi. Ve üyelerin bu düzeyde bu tür saldırıları gerçekleştirme konusunda önceden deneyime sahip olabileceğini kaydetti.

Araştırmacılar, altında ne olduğu hakkında hiçbir fikirleri olmadığını belirterek, “Metador’un keşfini, suyun yüzeyini kıran bir köpekbalığı yüzgecine benzetiyoruz” diye yazdı. “Bu, güvenlik endüstrisinin, şu anda ağları cezasız bir şekilde dolaşan tehdit aktörlerinin gerçek üst kabuğunu tespit etmeye yönelik proaktif bir şekilde mühendislik yapma ihtiyacını doğrulayan bir önsezi nedenidir.”