Kaspersky araştırmacıları, Haziran 2023’te alışıldık işlevselliğinin ötesine geçen yeni bir dizi özelliğe sahip DarkGate adlı yeni bir yükleyici keşfetti.
Dikkat çeken özelliklerden bazıları arasında gizli VNC, Windows Defender’ı atlatma, tarayıcı geçmişini çalma, ters proxy, dosya yönetimi ve Discord belirteci çalma gibi özellikler yer aldığını aktardı.DarkGate’in çalışma prensibi, DarkGate’in yüklenmesine yol açmak için karmaşık bir şekilde tasarlanmış dört aşamadan oluşan bir zincir içerdiğini paylaştı.
Kaspersky’nin araştırmasnda 2021’de kapatıldıktan sonra yeniden ortaya çıkan ünlü Emotet botnetinin bir faaliyetini de mercek altına aldı. Farkında olmadan zararlı OneNote dosyalarını açan kullanıcılar, gizli bir VBScript’in yürütülmesini tetikliyor. Daha sonrasında komut dosyası sisteme başarıyla sızana kadar çeşitli web sitelerinden zararlı yükü indirmeye çalışıyor. Emotet içeri girdikten sonra geçici dizine bir DLL yerleştiriyor ve sonrasında bunu çalıştırıyor. Bu DLL, şifrelenmiş içe aktarma işlevleriyle birlikte gizli talimatlar veya kabuk kodu içeriyor. Emotet, kaynak bölümünden belirli bir dosyanın şifresini çözerek üstünlüğü ele geçiriyor ve en son aşamada kötü amaçlı yükünü çalıştırıyor.
Kaspersky son olarak raporunda , gemi kargo taşımacılığı şirketlerini hedef alan LokiBot içeren bir kimlik avı kampanyası tespit etti. İlk olarak 2016’da tanımlanan bu bilgi hırsızı, tarayıcılar ve FTP istemcileri dahil olmak üzere çeşitli uygulamalardan kimlik bilgilerini çalmak için tasarlandı. Söz konusu e-postalar, kullanıcılardan makroları etkinleştirmelerini isteyen bir Excel belge eki taşıyor. Saldırganlar Microsoft Office’teki bilinen bir güvenlik açığından (CVE-2017-0199) faydalanarak bir RTF belgesinin indirilmesine yol açıyor. Bu RTF belgesinin daha sonra LokiBot kötü amaçlı yazılımını teslim etmek ve çalıştırmak için başka bir güvenlik açığından (CVE-2017-11882) yararlandığını belirtildi.
Kaspersky Global Araştırma ve Analiz Ekibi Kıdemli Güvenlik Araştırmacısı Jornt van der Wiel, şunları söyledi:
“Emotet’in yeniden görülmesi ve Lokibot’un sürekli varlığının yanı sıra DarkGate’in ortaya çıkması, karşı karşıya olduğumuz sürekli gelişen siber tehditlerin çarpıcı bir hatırlatması niteliğinde. Bu zararlı yazılım türleri ortama uyum sağlayıp yeni bulaşma yöntemlerini benimsedikçe, bireylerin ve işletmelerin tetikte olması ve sağlam siber güvenlik çözümlerine yatırım yapması önem kazandı. Kaspersky’nin devam eden araştırmaları sırasında DarkGate, Emotet ve Lokibot’u tespit etmesi, gelişen siber tehlikelere karşı korunmak için proaktif önlemler alınması gerekir”
Kaspersky uzmanları, fidya yazılımı saldırılandan korunmak için yapılabilecekleri şöyle sıraladı:
“Saldırganların güvenlik açıklarından yararlanmasını ve ağınıza sızmasını önlemek için kullandığınız tüm cihazlardaki yazılımları her zaman güncel tutun. Savunma stratejinizi yanal hareketleri ve internete veri sızıntılarını tespit etmeye odaklayın. Siber suçluların ağınıza bağlantılarını tespit etmek için giden yöndeki trafiğe özellikle dikkat edin. Davetsiz misafirlerin kurcalayamayacağı çevrimdışı yedeklemeler oluşturun. Gerektiğinde veya acil bir durumda bunlara hızlı bir şekilde erişebileceğinizden emin olun.Tüm uç noktalarda fidye yazılımı korumasını etkinleştirin. Bilgisayarları ve sunucuları fidye yazılımlarına ve diğer kötü amaçlı yazılım türlerine karşı koruyan, istismarları önleyen ve önceden kurulmuş güvenlik çözümleriyle uyumlu olan ücretsiz Kaspersky Anti-Ransomware Tool for Business ürününü kullanabilirsiniz. Gelişmiş tehdit keşfi ve tespiti, soruşturma ve olayların zamanında düzeltilmesi için yetenekler sağlayan anti-APT ve EDR çözümlerini yükleyin. SOC ekibinize en son tehdit istihbaratına erişim sağlayın ve onları düzenli olarak profesyonel eğitimlerle geliştirin. Yukarıdakilerin tümü Kaspersky Expert Security framework dahilinde mevcuttur. SOC ekibinizin en son tehdit istihbaratına (TI) erişimini sağlayın. Kaspersky Threat Intelligence Portal, Kaspersky’nin TI’sına ortak erişim noktasıdır ve ekibimiz tarafından son 20 yılda toplanan siber saldırı verilerini ve içgörüleri sağlar. Kaspersky, işletmelerin bu zor zamanlarda etkili savunmalar sağlamasına yardımcı olmak için güncel siber saldırılar ve tehditler hakkında bağımsız, sürekli güncellenen ve küresel kaynaklı bilgilere ücretsiz erişim sağladığını duyurdu.”
