Kuzey Kore destekli gelişmiş kalıcı tehdit APT37 olarak bilinir Araştırmacılar, Microsoft’un Internet Explorer Web tarayıcısındaki sıfır gün güvenlik açığından yaz boyunca yararlandığını ve bunu Güney Kore hedeflerine sıfır tıklamalı tedarik zinciri kampanyası başlatmak için kullandığını ortaya çıkardı.

IE 2022’de kullanım ömrünün sonuna ulaşmış ve birçok kuruluş artık onu kullanmıyor olsa da, bunu kullanan pek çok eski uygulama da mevcut. Bu durumda, APT37 AhnLab SEcurity Intelligence Center’a (ASEC) göre (diğer adıyla RedAnt, RedEyes, ScarCruft ve Group123), genellikle çeşitli ücretsiz yazılımlarla birlikte yüklenen bir Toast reklam programını özellikle hedef aldı. “Kızartmalar”, bilgisayar ekranının sağ alt kısmında görünen açılır bildirimlerdir.

AhnLab araştırmacılarına göre “Birçok Toast reklam programı, reklamları görüntülemek üzere Web içeriğini oluşturmak için WebView adı verilen bir özelliği kullanıyor.” “Ancak WebView bir tarayıcıya dayalı olarak çalışıyor. Bu nedenle, programı oluşturan kişi kodu yazmak için IE tabanlı WebView kullanmışsa, programdaki IE güvenlik açıklarından da yararlanılabilir.”

Sıcak Tereyağlı Sıfır Tıklamalı Tost İstismarı

AhnLab’ın geçen hafta yayınlanan analizine göre, devlet destekli siber saldırı grubu bir reklam ajansının güvenliğini ihlal etti ve ardından hatayı kullanarak şu şekilde takip edildi: CVE-2024-38178 (CVSS 7.5), ajansın reklam içeriğini insanların masaüstüne indirmek için kullandığı Toast komut dosyasına kötü amaçlı kod enjekte etmek. Komut dosyası, reklamlar yerine kötü amaçlı yazılım dağıtmaya başladı.

İlgili:Güney Koreli APT, Tek Tıklamayla WPS Office Hatasını İstismara Uğradı, Çin Intel’ini Yakaladı

Araştırmacılar, “Toast Kodu” adını verdikleri saldırıyla ilgili raporlarında, “Bu güvenlik açığı, reklam programı reklam içeriğini indirip görüntülerken istismar ediliyor” dedi. “Sonuç olarak, kullanıcının herhangi bir etkileşimi olmadan sıfır tıklama saldırısı gerçekleşti.”

Teslim edilen kötü amaçlı yazılım, APT37’nin geçmişte sürekli olarak kullandığı RokRAT’tır.

Araştırmacılar, “Sisteme bulaştıktan sonra, uzaktan komutlar gibi çeşitli kötü niyetli davranışlar gerçekleştirilebilir” dedi ve ekledi: “Bu saldırıda, kuruluş aynı zamanda kötü niyetli faaliyetlerin kalıcılığını güvence altına almak için Ruby’yi kullanıyor ve ticari bir bulut sunucusu aracılığıyla komut kontrolünü gerçekleştiriyor. “

Saldırının ciddi hasara neden olma potansiyeli olduğunu ancak saldırının erken tespit edildiğini söylediler. AhnLab’a göre “Ayrıca, güvenlik açığı yaması sürümü yayınlanmadan önce istismar potansiyeline sahip olduğu doğrulanan diğer Toast reklam programlarına karşı da güvenlik önlemleri alındı.”

IE Uygulamalarda Gizleniyor, Siber Tehdit Olarak Kalıyor

Microsoft, Ağustos Yaması Salı güncelleme listesinde hatayı düzeltti, ancak IE’nin diğer uygulamalarda yerleşik bir bileşen veya ilgili modül olarak kullanılmaya devam edilmesi endişe verici bir saldırı vektörü ve bilgisayar korsanlarının bu hatayı almaya devam etmeleri için bir teşvik olmaya devam ediyor. IE sıfır gün güvenlik açıkları.

İlgili:BlankBot Truva Atı Türk Android Kullanıcılarını Hedefliyor

AhnLab araştırmacıları raporda şöyle açıkladı: “Bu tür saldırılara karşı yalnızca kullanıcıların dikkatini veya antivirüs programını kullanarak savunma yapmak zor değil, aynı zamanda istismar edilen yazılıma bağlı olarak da büyük bir etkiye sahip olabilir.” (PDFKorece).

“Son zamanlarda Kuzey Koreli bilgisayar korsanlığı gruplarının teknolojik seviyesi daha da ileri seviyeye geliyor ve IE dışındaki çeşitli güvenlik açıklarından yararlanan saldırılar giderek artıyor.”

Buna göre kullanıcıların işletim sistemlerini ve yazılımlarını güncel tutmaya dikkat etmeleri gerektiği ancak “yazılım üreticilerinin de ürün geliştirirken güvenliğe açık geliştirme kütüphaneleri ve modüllerini kullanmamaya dikkat etmeleri gerektiği” sonucuna varıldı.

Çeviri Google Translate tarafından sağlanmıştır.

Gelişmiş kalıcı tehdit (APT) grubunun, Microsoft’un yama uygulanmamış sıfır günlük açığını nasıl istismar ettiğine dair yeni ayrıntılar ortaya çıktı yemleme kancası Çeşitli uygulamalardan şifreler ve çerezler gibi sistem bilgilerini ve hassas verileri çalan Atlantida Stealer’ı yayma kampanyası.

A Blog yazısı Trend Micro tarafından 15 Temmuz’da yayınlanan, Void Banshee olarak adlandırılan ve açığı kullanan APT’nin nasıl çalıştığına dair yeni ışık tutuyor ((CVE-2024-38112)Kuzey Amerika, Avrupa ve Güneydoğu Asya’daki kurbanlara karşı. Hata, artık emekliye ayrılmış Internet Explorer (IE) tarayıcısı için MSHTML (Trident) motorunda mevcuttur, ancak IE devre dışı bırakılmış veya varsayılan tarayıcı olmasa bile kurbanın makinesinde istismar edilebilir.

Trend Micro kıdemli tehdit araştırmacısı Peter Girnus ve kötü amaçlı yazılım tersine mühendisi Aliakbar Zahravi, gönderide IE’nin “tarihsel olarak geniş bir saldırı alanı olmasına rağmen artık herhangi bir güncelleme veya güvenlik düzeltmesi almaması” göz önüne alındığında bunun “endişe verici” bir saldırı olduğunu yazdı.

Araştırmacılar, Void Banshee kampanyasının kurbanları, bulut paylaşım siteleri, Discord sunucuları ve çevrimiçi kütüphaneler gibi sektörler aracılığıyla yayılan kitap PDF’leri gibi gizlenmiş kötü amaçlı dosyalar içeren zip arşivleri aracılığıyla cezbettiğini buldu. Bu, hem bilgi çalma hem de maddi kazanç için kurbanları hedef alma eğiliminde olan grubun tipik bir taktiğidir, diye belirttiler.

“[Atlantida] Araştırmacılar, “kötü amaçlı yazılım, şifreler ve çerezler gibi depolanmış hassas ve potansiyel olarak değerli verileri çıkarmaya odaklanır ve ayrıca enfekte sistemin masaüstünden belirli uzantılara sahip dosyaları da toplayabilir” diye yazdı. “Dahası, kötü amaçlı yazılım kurbanın ekranını yakalar ve kapsamlı sistem bilgileri toplar.”

Sıfır Gün Sömürüsüne İlişkin Yeni Ayrıntılar

Ayrı olarak, güvenlik araştırmacıları zaten ortaya çıkarmıştı IE’deki bu açığın, Microsoft’un yamasıyla düzeltildiği ve kimliği belirsiz tehdit gruplarının bu açığı istismar ettiği ortaya çıktı. Temmuz Yama Salı güncellemesi— Atlantida ve diğer kötü amaçlı yazılımları kötü amaçlı PDF dosyalarında yaymak.

Microsoft, CVE-2024-38112’yi, başarılı bir şekilde istismar edilirse sistem gizliliği, bütünlüğü ve kullanılabilirliği üzerinde yüksek bir etkiye sahip olabilecek bir sahtecilik güvenlik açığı olarak tanımladı, ancak CVSS güvenlik açığı-önem ölçeğinde ona yalnızca 10 üzerinden 7,5’lik orta derecede yüksek bir önem derecesi verdi. Bunun nedeni, bir saldırının başarılı olması için saldırganın, diğer faktörlerin yanı sıra, kurbanı silahlandırılmış URL dosyasıyla etkileşime girmeye ikna etmesi gerekmesidir.

Trend Micro’nun raporunda, Void Banshee’nin Windows kullanıcılarını, bir kimlik avı kampanyasında hedef kitleyi, bir kitabın PDF kopyalarına benzeyen URL kısayol dosyalarını (özellikle “Klinik Anatomi” gibi ders kitapları ve referans materyalleri) açmaya ikna ederek bunu nasıl başardığına dair yeni ayrıntılar yer alıyor.

Araştırmacılar, “Bu, kampanyanın, sıklıkla referans materyalleri ve kitapların dijital kopyalarının toplandığı yerleri kullanan yüksek vasıflı profesyonelleri ve öğrencileri hedef aldığını gösteriyor” diye yazdı.

CVE-2024-38112 Kullanım ve Yük Davranışı

Daha önce açıklanan bir saldırı vektörü Check Point güvenlik araştırmacısı Haifei Li kötü amaçlı kısayolların, varsayılan tarayıcı olmasa bile, Chrome veya Edge gibi daha güvenli bir tarayıcı yerine işlevsiz tarayıcıyı çağırarak saldırgan tarafından kontrol edilen bir URL’yi açmak için IE’yi nasıl kullanabileceğini ayrıntılı olarak açıkladı. Vektör, kullanıcılar için güvenli görünen PDF belgelerinde tehlikeli HTML uygulama (HTA) dosyalarını gizledi.

Trend Micro’nun raporu, Void Banshee’nin bunu, MHTML protokol işleyicisini ve x-usc! yönergesini içeren URL dosyalarını dağıtarak nasıl yaptığını açıklıyor; bu, grubun devre dışı bırakılmış IE işlemi aracılığıyla HTA dosyalarına erişmesine ve bunları çalıştırmasına izin veriyor. Bir kurban zararsız bir PDF gibi görünen bir şeyi açtığında, bunun yerine URL hedefini iexplore.exe işlemi aracılığıyla yerel IE’de açıyor.

Araştırmacılar, “CVE-2024-38112’yi kullanan İnternet kısayolu dosyası, bir HTML dosyasının enfeksiyon zincirinin HTA aşamasını indirdiği saldırgan tarafından kontrol edilen bir etki alanına işaret ediyor,” diye açıkladı. “Bu HTML dosyasını kullanarak, saldırgan ayrıca web sitesinin pencere görünüm boyutunu IE aracılığıyla kontrol edebilir. Bu, tehdit aktörü tarafından tarayıcı bilgilerini gizlemek ve enfeksiyon zincirinin bir sonraki aşamasının kurbandan indirilmesini maskelemek için kullanılır.”

Bahsedildiği gibi, saldırı nihayetinde açık kaynaklı hırsızlar NecroStealer ve PredatorTheStealer’dan oluşturulan Atlantida hırsızını ele geçiriyor. Telegram, Steam, FileZilla, çeşitli kripto para cüzdanları ve Web tarayıcıları dahil olmak üzere çeşitli uygulamalardan hassas bilgileri hedefliyor. Daha sonra kötü amaçlı yazılım çalınan verileri bir zip dosyasına sıkıştırıyor ve TCP portu 6655 üzerinden saldırgan tarafından kontrol edilen bir komuta ve kontrol (C2) sitesine geri gönderiyor.

IE Gibi “Zombi Kalıntıları” Tehlikeli Olmaya Devam Ediyor

Trend Micro’ya göre, CVE-2024-38112’ye yönelik saldırılar genel olarak, IE gibi artık desteklenmeyen veya bir kuruluşta aktif olarak kullanılmayan bir teknolojinin bile hâlâ büyük bir tehdit oluşturabileceğini gösteriyor.

“Kullanıcılar artık IE’ye erişemese bile, tehdit aktörleri hala bu erişimi istismar edebilir Kalan Windows kalıntıları Araştırmacılar, “Kullanıcıları ve kuruluşları fidye yazılımları, arka kapılar veya diğer kötü amaçlı yazılım türlerini çalıştırmak için bir proxy olarak makinelerinde IE benzeri bir tarayıcı kullanıyorlar” diye yazdı.

Ayrıca, tehdit aktörlerinin, Microsoft Edge için IE modu gibi modern Web deneme ortamlarını atlatmak için desteklenmeyen ve devre dışı bırakılmış sistem hizmetlerine erişme yeteneğinin “sektörde önemli bir endişe” yarattığını yazdılar.

Kusuru yamamak, mevcut sömürüyü engellemenin en belirgin yoludur. IE sorunuAraştırmacılar, Trend Micro’nun ayrıca MITRE ATT&CK tekniklerinin bir listesini de eklediğini belirtti. uzlaşma göstergelerine (IoC’ler) bir bağlantı yazısında.

Trend Micro’ya göre, kuruluşlar proaktif bir yaklaşım benimsemeli ve gelişmiş tehdit istihbaratı kullanmanın yanı sıra, potansiyel kusurlar ve potansiyel olarak istismar edilebilecek diğer saldırı yüzeyleri için tarama yazılımlarını ve diğer kurumsal ağ varlıklarını sürekli izleyen bir güvenlik duruşu benimsemelidir.

En az dört ayrı siber saldırı grubu, dünya çapındaki devlet kuruluşlarından e-posta verilerini, kullanıcı kimlik bilgilerini ve kimlik doğrulama belirteçlerini çalmak için Zimbra Collaboration Suite’teki (ZCS) eski bir sıfır gün güvenlik açığını kullandı.

Zimbra web sitesine göre ZCS, “binlerce” şirket ve “yüz milyonlarca” kişi tarafından kullanılan bir e-posta sunucusu, takvim ve sohbet ve video platformudur. Müşteri kuruluşları, Japonya İleri Bilim ve Teknoloji Enstitüsü, Almanya’nın Max Planck Enstitüsü ve Güneydoğu Asya’nın önde gelen iş kuluçka merkezi Gunung Sewu kadar çeşitlidir.

Hata (CVE-2023-37580), Zimbra e-posta sunucusunda 25 Temmuz’da yamalanan ve 5 Temmuz’da genel GitHub deposuna yayılan bir düzeltmeyle yansıtılan bir siteler arası komut dosyası çalıştırma (XSS) güvenlik açığıdır. Google’ın Tehdit Analiz Grubu’nun (TAG) raporu Dark Reading ile paylaşılan sıfır gün istismarı, Zimbra’nın iyileştirme teklifinden önce Haziran ayında başladı.

Dünya Hükümetlerine Dört Ayrı Siber Saldırı

Google TAG, hükümet kampanyalarıyla ilgili aşağıdakileri içeren ayrıntıları açıkladı:

• 29 Haziran: Bilinmeyen saldırganlar Yunanistan’ı hedef alıyor.
• 11 Temmuz: Winter Vivern APT kampanyası Moldova ve Tunus’u hedef alıyor.
• 20 Temmuz: Bilinmeyen saldırganlar Vietnam’ı hedef alıyor.
• 25 Ağustos: Bilinmeyen saldırganlar Pakistan’ı hedef alıyor.

Google TAG araştırmacılarına göre “Sıfır gün güvenlik açığının ilk doğal keşfi, Yunanistan’daki bir hükümet kuruluşunu hedef alan bir kampanyaydı.” “Saldırganlar hedeflerine istismar URL’leri içeren e-postalar gönderdiler.”

Bir hedef, Zimbra oturumunun açık olduğu bir oturum sırasında bağlantıya tıkladıysa, URL, kullanıcıların e-postalarını ve eklerini çalan bir çerçeve yükledi; ve saldırgan tarafından kontrol edilen bir e-posta adresine otomatik yönlendirme kuralı oluşturdu.

Bu arada Winter Vivern kampanyası 11 Temmuz’da başladıktan sonra iki hafta boyunca devam etti.

TAG analizine göre “TAG, Moldova ve Tunus’taki devlet kuruluşlarını hedef alan birden fazla istismar URL’si belirledi; her bir URL, bu hükümetlerdeki belirli kuruluşlar için benzersiz bir resmi e-posta adresi içeriyordu.”

Kimliği belirsiz bir grup tarafından gerçekleştirilen üçüncü sıfır gün kampanyası, Vietnam’daki bir hükümet kuruluşuna yönelik kimlik avı saldırısının parçasıydı.

Google araştırmacıları, “Bu durumda, istismar URL’si, kullanıcıların web posta kimlik bilgileri için bir kimlik avı sayfası görüntüleyen ve çalınan kimlik bilgilerini, saldırganların büyük olasılıkla ele geçirdiği resmi bir hükümet etki alanında barındırılan bir URL’ye gönderen bir komut dosyasına işaret ediyordu.” dedi.

Dördüncü kampanyada, Pakistan’daki bir hükümet kuruluşundan Zimbra kimlik doğrulama tokenlarını çalmak için N günlük bir istismar kullanıldı.

Bildiri, “CVE-2023-37580’den yararlanan en az dört kampanyanın keşfedilmesi… kuruluşların posta sunucularına mümkün olan en kısa sürede düzeltmeler uygulamasının önemini göstermektedir.” şeklinde sonuçlandı. “Bu kampanyalar aynı zamanda saldırganların, düzeltmenin depoda olduğu ancak henüz kullanıcılara yayınlanmadığı güvenlik açıklarından fırsatçı bir şekilde yararlanmak için açık kaynak depolarını nasıl izlediğini de vurguluyor.”

Siber Saldırganlar Sık Kullanılan Posta Sunucularını Hedefliyor

Posta sunucularındaki güvenlik açıklarından sürekli olarak yararlanılıyor, bu nedenle kuruluşların bu güvenlik açıklarına yama uygulamasına öncelik vermesi gerekiyor.

Yalnızca Zimbra, Ekim 2022’de sıfır gün olarak istismar edilen bir uzaktan kod yürütme hatası ve Kuzey Kore ulusunun yamalı sunucuları yağmalayan bir bilgi çalma kampanyası da dahil olmak üzere güvenlik olaylarıyla boğuşuyor. Ocak ayında CISA, tehdit aktörlerini uyardı ZCS’ye karşı birden fazla CVE’den yararlanılıyordu.

Bu arada, geçen ay Winter Vivern, Roundcube Webmail sunucularındaki sıfır gün kusurundan yararlanarak, Avrupa’daki hükümet kuruluşlarını ve bir düşünce kuruluşunu hedef alan, yalnızca kullanıcının bir mesajı görüntülemesini gerektiren kötü niyetli bir e-posta kampanyası yürütüyordu.

TAG’a göre: “Posta sunucularındaki XSS güvenlik açıklarından düzenli olarak yararlanılması, özellikle XSS güvenlik açıkları açısından bu uygulamaların daha fazla kod denetimine ihtiyaç duyulduğunu da gösteriyor.”

Çin bağlantılı olduğundan şüphelenilen bir bilgisayar korsanlığı grubu, küresel bir casusluk kampanyasının parçası olarak hükümet, ordu, savunma ve havacılık, yüksek teknoloji endüstrisi ve telekom sektörlerini ihlal etmek için Barracuda Networks Email Security Gateway (ESG) cihazlarında yakın zamanda açıklanan sıfır gün kusurundan yararlandı .

Mandiant adı altında etkinliği takip eden UNC4841tehdit aktörünün “savunma çabalarına son derece duyarlı” olduğunu ve hedeflere kalıcı erişimi sürdürmek için işleyiş tarzını aktif olarak değiştirebilme yeteneğine sahip olduğunu belirtti.

Google’ın sahibi olduğu tehdit istihbarat firması, “UNC4841, ya yama yayınlanmadan önce ya da Barracuda’nın iyileştirme rehberliğinden kısa bir süre sonra tehlikeye attığı yüksek öncelikli hedeflerin küçük bir alt kümesinde varlığını sürdürmek için tasarlanmış yeni ve yeni kötü amaçlı yazılımlar kullandı.” söz konusu bugün yayınlanan yeni bir teknik raporda.

Etkilenen kuruluşların neredeyse üçte biri devlet kurumlarıdır. İlginçtir ki, ilk ihlallerden bazılarının coğrafi olarak Çin ana karasına konumlandırılmış az sayıda cihazda gerçekleşmiş olduğu görülüyor.

Saldırılar, kötü amaçlı yazılım dağıtmak ve kullanım sonrası faaliyetleri yürütmek için CVE-2023-2868’in kullanılmasını gerektiriyor. Bazı durumlarda izinsiz girişler, iyileştirme çabalarına yanıt olarak kalıcılığı korumak için SUBMARINE (aka DEPTHCHARGE) gibi ek kötü amaçlı yazılımların konuşlandırılmasına yol açmıştır.

Kampanyanın daha ayrıntılı analizi, Çin Yeni Yılı’nın başlangıcına denk gelen “yaklaşık 20 Ocak’tan 22 Ocak 2023’e kadar faaliyetlerde belirgin bir düşüş” olduğunu ve ardından biri Barracuda’nın 23 Mayıs 2023’teki kamuya duyurusunun ardından iki dalgalanmanın geldiğini ortaya çıkardı. ve ikincisi Haziran 2023’ün başlarında.

İkincisinin, saldırganın “SKIPJACK, DEPTHCHARGE ve FOXTROT / FOXGLOVE yeni kötü amaçlı yazılım ailelerinin konuşlandırılması yoluyla tehlikeye atılmış ortamlara erişimi sürdürmeye çalışmasını” kapsadığı söyleniyor.

SKIPJACK, içeriklerinin kodunu çözüp çalıştırmadan önce belirli gelen e-posta başlıkları ve konuları için bir dinleyiciyi kaydeden pasif bir implant olsa da, DEPTHCHARGE, LD_PRELOAD ortam değişkenini kullanarak Barracuda SMTP (BSMTP) arka plan programına önceden yüklenir ve yürütülmek üzere şifrelenmiş komutları alır.

DEPTHCHARGE’ın ilk kullanımı 30 Mayıs 2023’e, yani Barracuda’nın kusuru kamuya açıklamasından sadece birkaç gün sonrasına kadar uzanıyor. Mandiant, kötü amaçlı yazılımın belirli bir hedef alt kümesine hızla yayıldığını gözlemlediğini, bunun da yüksek düzeyde hazırlık yapıldığını ve yüksek değerli ortamlarda kalıcı olma girişimini gösterdiğini söyledi.

Şirket, “Ayrıca, bu operasyonun küresel kapsamına rağmen fırsatçı olmadığını ve UNC4841’in, hedef ağlara erişimlerini potansiyel olarak kesintiye uğratabilecek beklenmedik durumları tahmin etmek ve bunlara hazırlanmak için yeterli planlama ve finansmana sahip olduğunu da öne sürüyor” diye açıkladı.

Güvenliği ihlal edilen toplam cihazların yaklaşık yüzde 2,64’ünün DEPTHCHARGE ile enfekte olduğu tahmin ediliyor. Bu mağduriyet, ABD ve yabancı devlet kurumlarının yanı sıra yüksek teknoloji ve bilgi teknolojisi sağlayıcılarını da kapsamaktadır.

Yine seçici olarak hedeflere iletilen üçüncü kötü amaçlı yazılım türü, FOXGLOVE adlı C tabanlı bir program kullanılarak başlatılan bir C++ implantı olan FOXTROT’tur. TCP aracılığıyla iletişim kurarak tuş vuruşlarını yakalama, kabuk komutlarını çalıştırma, dosyaları aktarma ve ters kabuk ayarlama özellikleriyle birlikte gelir.

Dahası, FOXTROT paylaşımları, son aylarda çok sayıda Çinli hack ekibi tarafından yaygın olarak kullanılan Reptile adlı açık kaynaklı bir rootkit ile örtüşüyor. Bu aynı zamanda Fortinet FortiOS işletim sistemindeki yamalı orta önemdeki bir güvenlik açığının sıfır gün istismarıyla bağlantılı bir tehdit aktörü olan UNC3886’yı da içeriyor.

Mandiant, “FOXTROT ve FOXGLOVE, UNC4841 tarafından kullanıldığı gözlemlenen ve Barracuda ESG’leri için özel olarak tasarlanmamış tek kötü amaçlı yazılım aileleri olmaları açısından da dikkat çekicidir” dedi. “İşlevsellik açısından FOXTROT’un, yanal hareketi ve kimlik bilgileri hırsızlığını mümkün kılmak için bir ağ içindeki diğer Linux tabanlı cihazlara da dağıtılması planlanmıştı.”

FOXGLOVE ve FOXTROT’u öne çıkaran bir diğer husus, UNC4841 tarafından kullanılan tüm kötü amaçlı yazılım aileleri arasında en seçici şekilde konuşlandırılmış olmaları ve bunu yalnızca hükümet veya hükümetle ilgili kuruluşları hedeflemek için kullanmalarıdır.

Düşman grubunun, sınırlı sayıda kurban ortamında iç keşif ve ardından yanal hareket eylemleri gerçekleştirdiği de tespit edildi. Kuruluşlardaki kullanıcıların posta kutularında oturum açmak için Microsoft Outlook Web Access’in (OWA) kullanılması birden fazla vakayı gerektirdi.

Gelişmiş kalıcı tehdit (APT) aktörü, uzaktan erişimin alternatif bir biçimi olarak, daha önce etkilenen cihazların yaklaşık yüzde beşinde, etc/passwd dosyasında rastgele oluşturulmuş dört karakter içeren hesaplar oluşturdu.

UNC4841’in Çin bağlantıları, altyapı ortak noktaları grup ile UNC2286 kod adlı başka bir kategorize edilmemiş küme arasında, bu da FamousSparrow ve GhostEmperor olarak takip edilen diğer Çin casusluk kampanyalarıyla örtüşüyor.

En son açıklama, ABD Federal Soruşturma Bürosu’nun (FBI) devam eden risk nedeniyle etkilenen müşterileri ESG cihazlarını derhal değiştirmeye çağırdığı bir dönemde geldi.

Şirket, “UNC4841, küresel casusluk operasyonlarını mümkün kılmak için çok çeşitli kötü amaçlı yazılımlardan ve amaca yönelik tasarlanmış araçlardan yararlanan, iyi kaynaklara sahip bir aktördür” diyerek, tehdit aktörünün belirli kurban ortamlarına seçici olarak daha fazla yük dağıtma becerisine dikkat çekti.

“Paylaşılan altyapı ve anonimleştirme teknikleri, paylaşılan araçlar ve muhtemelen kötü amaçlı yazılım geliştirme kaynakları gibi, Çinli siber casusluk aktörleri arasında yaygındır. Sıfır gün güvenlik açıklarına sahip uç altyapıyı hedef alan Çin siber casusluk operasyonlarını ve bunların konuşlandırılmasını gözlemlemeye devam etmemiz muhtemeldir. belirli cihaz ekosistemlerine göre özelleştirilmiş kötü amaçlı yazılım.”