"Pakistan Bağlantılı Hackerlar, Hindistan’daki Hedeflerini CurlBack RAT ve Spark RAT ile Genişletiyor"
Pakistan bağlantılı bir tehdit aktörü, Hindistan’daki çeşitli sektörleri hedef alarak saldırı yelpazesini genişletti. SEQRITE tarafından Aralık 2024’te tespit edilen bu siber casusluk faaliyetleri, Hindistan demiryolu, petrol ve doğalgaz ile dışişleri bakanlıklarına yönelik gerçekleştirildi. Bu, saldırgan grubun daha önce odaklandığı hükümet, savunma, denizcilik ve üniversite sektörlerinin ötesine geçtiğini gösteriyor.
Bu kampanyalarda Xeno RAT, Spark RAT gibi bilinen uzaktan erişim truva atlarının yanı sıra, daha önce belgelenmemiş yeni bir kötü amaçlı yazılım olan CurlBack RAT de kullanıldı.
Söz konusu tehdit aktörü, en az 2019’dan beri aktif olduğu bilinen Transparent Tribe (diğer adıyla APT36) grubunun bir alt kolu olan SideCopy olarak değerlendiriliyor. SideCopy ismi, SideWinder adlı başka bir tehdit grubunun saldırı zincirlerini taklit ederek kendi kötü amaçlı yazılımlarını dağıtmasından ötürü kullanılıyor.
Haziran 2024’te SEQRITE, SideCopy’nin SideWinder saldırılarında daha önce gözlemlenen teknikleri kullandığını ve şifrelenmiş HTA dosyalarını tercih ettiğini açıklamıştı. Bu dosyalarda ayrıca SideWinder tarafından kullanılan RTF dosyalarını barındıran URL’lere de rastlandı.
Saldırılar; Action RAT ve ReverseRAT gibi bilinen kötü amaçlı yazılımlarla sonuçlanırken, belge ve görsel çalmak için kullanılan Cheex, takılı USB cihazlardan veri çekebilen özel bir kopyalayıcı ve .NET tabanlı, uzaktan 30 farklı komut çalıştırabilen Geta RAT gibi başka zararlı yazılımlar da tespit edildi.
En son elde edilen bulgular, söz konusu hacker grubunun yetkinliğini artırdığını ve kendi kabuğunu kırarak daha sofistike bir tehdit haline geldiğini gösteriyor. Grup, zararlı yazılımları yaymak için e-posta tabanlı oltalama (phishing) tekniklerini kullanmaya devam ediyor. Bu e-postalarda Hindistan Demiryolları personeline yönelik tatil listeleri ve Hindustan Petroleum Corporation Limited (HPCL) tarafından yayımlanan siber güvenlik yönergeleri gibi cazip içerikler yer alıyor.
Özellikle dikkat çeken bir saldırı kümesi, hem Windows hem de Linux sistemlerini hedef alması açısından önem taşıyor. Bu saldırılar, çapraz platform destekli Spark RAT ve sadece Windows üzerinde çalışan yeni bir zararlı yazılım olan CurlBack RAT ile sonuçlanıyor. CurlBack RAT, sistem bilgisi toplama, dosya indirme, komut çalıştırma, ayrıcalık yükseltme ve kullanıcı hesaplarını listeleme gibi yeteneklere sahip.
Diğer bir saldırı kümesinde ise, çeşitli yem dosyaları kullanılarak çok aşamalı bir enfeksiyon zinciri başlatılıyor. Bu süreçte, temel düzeyde string manipülasyon yöntemleriyle geliştirilmiş özel bir Xeno RAT sürümü yükleniyor.
