Kaspersky araştırmacıları, kötü şöhretiyle tanınan Gelişmiş Kalıcı Tehdit (APT) aktörü BlueNoroff’un portföyüne yeni ve daha gelişmiş kötü amaçlı yazılım türleri eklediğini keşfetti. BlueNoroff, girişim sermayesi şirketlerini, kripto startup’larını ve bankaları hedef alarak dünya çapındaki finansal kuruluşların kripto para varlıklarını hedefleyen bir saldırgan olarak biliniyor. Son raporlara göre BlueNoroff, kötü amaçlı yazılımlarını daha verimli bir şekilde iletebilmek adına yeni dosya türlerini deniyor ve startup çalışanlarını tuzağa düşürmek için risk sermayesi şirketlerine ve bankalara ait 70’ten fazla sahte domain oluşturmuş durumda.
Lazarus grubunun bir parçası olan BlueNoroff, alametifarikası gereği akıllı sözleşmeler, DeFi, Blockchain ve FinTech endüstrisi ile uğraşan kuruluşlara saldırmak için gelişmiş kötü amaçlı teknolojilerini kullanıyor. 2022’de Kaspersky uzmanları, BlueNoroff tarafından yürütülen dünya çapındaki kripto para girişimlerine yönelik bir dizi saldırıyı bildirmişti ancak sonrasında sessiz bir döneme girildi. Diğer taraftan, Kaspersky’nin telemetri ölçümlerine göre BlueNoroff bu sonbaharda saldırmak için geri döndü ve bu defa her zamankinden daha aktif ve daha özel saldırılar yapacak.
Büyük bir finansal kuruluşun satış departmanında çalıştığınızı hayal edin: .DOC formatında bir metin alıyorsunuz, mesela müşteriden gelen bir sözleşme.
“Hemen bu dosyayı açıp patrona da gönderelim!” diye düşünüyorsunuz. Ancak siz dosyayı açar açmaz kötü amaçlı yazılım hemen kurumsal bilgisayarınıza indiriliyor. Artık saldırganlar, hırsızlık için bir saldırı stratejisi planlarken tüm günlük operasyonlarınızı takip ediyor. Enfekte şirketten bir çalışan büyük miktarda kripto parayı aktarmaya çalıştığı anda saldırganlar işlemi durduruyor, alıcının adresini değiştiriyor ve gönderilecek para miktarını da en son limite kadar zorluyor. Bu durum, hesabın tek seferde tamamen boşaltılması anlamına gelebilir.
Kaspersky uzmanları, saldırganların şu anda kurbanın bilgisayarına bulaşmak için yeni bir Visual Basic Komut Dosyası, görünmeyen bir Windows toplu işlem dosyası ve bir Windows uygulama dosyası gibi daha önce kullanılmamış dosya türlerini aktif olarak denediğine ve test ettiğine inanıyor.
Dahası, ileri düzey siber suçlular arasında popüler olan mevcut taktikleri kullanmanın yanı sıra, kendi stratejilerini de icat ederek Windows güvenlik önlemlerini atlatma konusunda daha başarılı olmaya başladılar. Son zamanlarda birçok saldırgan, Web İşareti’nden (Mark-off-the-Web) kaçınmak için görüntü dosyalarını benimsemiş. Özetle, MOTW flag’i dediğimiz şey, kullanıcı internetten indirilen bir dosyayı görüntülemeye çalıştığında Windows’un uyarı mesajı (Dosyanın “Korumalı görünümde” açılması gibi) verdiği bir güvenlik önlemi olarak adlandırılabilir. Bu mitigasyon tekniğinden kaçınmak için, içlerinde BlueNoroff’un da bulunduğu çok sayıda saldırgan ISO dosya türlerinden (yazılım veya medya içeriğinin dağıtımı için kullanılan normal optik disklerin dijital kurulum kopyaları) yararlanmaya başlamış durumda.
Tehdit aktörleri, bu tip saldırılarının gücünü her geçen gün artırıyor. Örneğin, Ekim 2022’de Kaspersky araştırmacıları, dünyaca ünlü risk sermayesi şirketlerini ve bankaları taklit eden 70 sahte alan adı gözlemledi. Etki alanlarının çoğu, Beyond Next Ventures, Mizuho Financial Group ve diğer Japon firmalarını taklit ediyor. Bu da saldırgan grubun Japon mali kuruluşlarına yoğun ilgi gösterdiğini açığa çıkartıyor. Kaspersky telemetri ölçümlerine göre saldırgan, ayrıca BAE kuruluşlarını da hedef alıyor ve bunu yaparken de kendisini ABD ve Vietnam şirketleri kılığına sokuyor.
