2017'den Bu Yana 11 Devlet Destekli Tehdit Grubu Tarafından Yamalanmamış Windows Sıfır Gün Açığı Kullanıldı
Merhabalar Ben @binbaşı Lojistik grup adına paylaşılan 2017'den Bu Yana 11 Devlet Destekli Tehdit Grubu Tarafından Yamalanmamış Windows Sıfır Gün Açığı Kullanıldı makalesinde sizi görmekten mutluyum.
Microsoft Windows'u etkileyen henüz düzeltilmemiş bir güvenlik açığı, Çin, İran, Kuzey Kore ve Rusya'ya bağlı 11 devlet destekli grup tarafından veri hırsızlığı, casusluk ve 2017'den bu yana süregelen finansal amaçlı kampanyaların bir parçası olarak istismar edildi.
Trend Micro'nun Zero Day Initiative (ZDI) tarafından ZDI-CAN-25373 olarak izlenen bu sıfırıncı gün açığı, saldırganların özel olarak hazırlanmış Windows Kısayolu veya Kabuk Bağlantısı (.LNK) dosyaları aracılığıyla kurbanın cihazında gizli kötü amaçlı komutlar çalıştırmasına olanak tanıyor.
Güvenlik araştırmacıları Peter Girnus ve Aliakbar Zahravi, The Hacker News ile paylaşılan analizlerinde şu ifadelere yer verdi:
Özellikle, saldırganların tespit edilmekten kaçınmak için komut satırı argümanlarını Boşluk (0x20), Yatay Sekme (0x09), Satır Besleme (0x0A), Dikey Sekme (\x0B), Form Besleme (\x0C) ve Satır Başı (0x0D) gibi boşluk karakterleriyle doldurduğu tespit edildi.
Bugüne kadar ZDI-CAN-25373'ü kullanan yaklaşık 1.000 adet .LNK dosya örneği ortaya çıkarıldı. Bu örneklerin büyük çoğunluğu Evil Corp (Water Asena), Kimsuky (Earth Kumiho), Konni (Earth Imp), Bitter (Earth Anansi) ve ScarCruft (Earth Manticore) gibi tehdit aktörleriyle bağlantılı.
Güvenlik açığını kötüye kullanan 11 devlet destekli tehdit grubunun neredeyse yarısının Kuzey Kore menşeli olduğu belirtiliyor. Ayrıca, bu bulgu Pyongyang’ın siber operasyonlarında farklı tehdit gruplarının birbiriyle iş birliği içinde çalıştığını gösteren bir kanıt olarak değerlendiriliyor.
Telemetri verilerine göre, bu saldırıların başlıca hedefleri arasında ABD, Kanada, Rusya, Güney Kore, Vietnam ve Brezilya’daki hükümetler, özel sektör kuruluşları, finans şirketleri, düşünce kuruluşları, telekom servis sağlayıcıları ve askeri/savunma kurumları yer alıyor.
ZDI tarafından incelenen saldırılar, .LNK dosyalarının Lumma Stealer, GuLoader ve Remcos RAT gibi kötü amaçlı yazılımların yayılmasında bir araç olarak kullanıldığını gösteriyor. Bu kampanyalar arasında özellikle dikkat çeken nokta, Evil Corp’un Raspberry Robin’i dağıtmak için ZDI-CAN-25373'ü istismar etmesi oldu.
Microsoft’un Açıklaması
Microsoft, söz konusu güvenlik açığını düşük önemde sınıflandırıyor ve bir düzeltme yayınlamayı planlamadığını belirtiyor.Araştırmacılar, ZDI-CAN-25373’ün, Kullanıcı Arayüzü (UI) Kritik Bilgilerin Yanlış Sunumu (CWE-451) kategorisine girdiğini ifade ediyor:
Microsoft’un konuyla ilgili resmi açıklaması şu şekilde
Ayrıca, Outlook, Word, Excel, PowerPoint ve OneNote gibi Microsoft ürünleri zaten .LNK dosyalarını tehlikeli uzantılar listesine dahil ettiği için, bu tür dosyalar internetten indirildiğinde kullanıcıları uyaran bir güvenlik mesajı otomatik olarak görüntüleniyor.
Son olarak Microsoft, ZDI tarafından açıklanan yöntemin saldırganlar için sınırlı bir pratik fayda sağladığını ve Microsoft Defender’ın, bu dosyaları kötü amaçlı içerik açısından tarayarak tespit etme yeteneğine sahip olduğunu vurguluyor.
LOJİSTİK TİM SUNDU
