Yeni zararlı yazılım BIOPASS RAT, kurbanların ekranlarını kaydetmek için OBS canlı yayın yazılımını kötüye kullanıyor

Yeni zararlı yazılım BIOPASS RAT, kurbanların ekranlarını kaydetmek için OBS canlı yayın yazılımını kötüye kullanıyor

Siber güvenlik şirketin Trend Micro tarafından yayınlanan bir araştırmaya göre; Çin’deki online bahis kullanıcılarını hedef alan, python programla diliyle kodlanmış yeni BIOPASS RAT adlı kötü amaçlı yazılım keşfedildi. BIOPASS RAT’ın OBS Studio canlı yayın uygulamasını kullanarak kurbanların ekranını kaydettiği belirtiyor.

Trend Micro’nun güvenlik araştırmacıları gerçekleştirdikleri analizler çerçevesinde;  

  1. BIOPASS RAT adlı zararlı yazılımın, şu anda ömrünü tamamlamış olsada Çin’de hala kullanılan Adobe Flash Player veya Microsoft Silverlight yazılımlarını taklit edip, kullanıcılar için legal bir dosya gibi görüntülenmesini sağlamış,
  2. Çin’deki kumarla ilgili sitelerin sohbet destek sayfalarına yerleştirilen kötü amaçlı JavaScript kodu sayesinde, kullanıcıları bu zararlı yazılımı barındıran sayfalara yönlendirmiş.
  3. Buralara yönlendirilen kullanıcılarda, yasal ve zararsız bir şekilde gözüken Flash ve Silverlight uygulamalarını yüklemesiyle birlikte BIOPASS RAT’ın da yüklendiği belirtiliyor.

BIOPASS RAT ve Özellikleri

BIOPASS RAT’ın özelliklerine ve işlevlerine bakıldığında tipik bir zararlı yazılımda bulunan uzak masaüstü erişimi, dosya hırsızlığı ve kabuk komutu yürütme gibi temel şeylere sahip olduğu görülmüş. Bunun yanında Çin’de popüler olan web tarayıcılarından ve anlık mesajlaşma uygulamalarından özel verileri çalmaya odaklanmasıyla da dikkat çekiyor.

Kaynak: TrendMicro / RAT Oturum Açma Paneli

Araştırmacılara göre:

  1. Bu zararlının hala aktif olarak geliştirildiği düşünülüyor çünkü araştırmacılar analiz ettikleri örneklerde V2″ veya “BPSV3” gibi RAT kodunun farklı sürümlerine atıfta bulunan işaretçilere rastlamışlar.
  2. Analizler sonucu elde ettikleri yükleyicilerde, varsayılan olarak BIOPASS RAT kötü amaçlı yazılımı yerine Cobalt Strike kabuk kodunu yüklemek için kullanıldığını keşfetmişler.
  3. BIOPASS RAT’ın başlatma sırasında Cobalt Strike kabuk kodunu yüklemek için zamanlanmış görevler oluşturulduğu görülmüş.
  4. Diğer RAT’lardan en önemli farkının OBS Studio  yazılımını kurbanların sistemlerine yüklediği belirtiliyor
  5. Saldırganların, kullanıcının ekranını kaydetmek ve bir saldırganın kontrol paneline yayınlamak için OBS Studio’nun RTMP (Gerçek Zamanlı Mesajlaşma Protokolü) akış özelliklerini kullandıkları keşfedilmiş.
Kaynak: TrendMicro

Bu kötü amaçlı yazılımın arkasındaki tehdit aktörü ile ilgili kesin bir kanıt yer almazken, zararlı yazılımın analizleri sırasında, siber casusluk saldırılarında uzmanlaşmış sofistike bir tehdit aktörü APT41 olarak bilinen Winnti Group ile bağlantılı olabileceğini düşündükleri delillere ulaştıklarını belirtiyorlar.

Araştırmacılar, analiz ettikleri Cobalt Strike yükleyicilerden birinde ilginç bir detay keşfetmişler. Bu ayın başlarında Moğolistan’ın en büyük sertifika yetkililerinden (CA) biri olan MonnPass’a ait bir sunucuya izinsiz giriş yapılmış, Cobalt Strike tabanlı bir arka kapı yerleştirdi. Bu iki saldırıda da aynı Cobalt Strike yüklenicisi kullanılmış.

Analizin tamamına buradan ulaşabilirsiniz.

Bunlar ilginizi çekebilir

Apple, Intel tabanlı Mac'lere yönelik kullanılan iki 0-Day için güncelleştirme duyurdu

Apple, Intel tabanlı Mac'lere yönelik kullanılan iki 0-Day için güncelleştirme duyurdu

Apple, Intel tabanlı Mac sistemlerine yönelik saldırılarda tehdit aktörleri tarafından istismar edilen iki tane sıfırıncı gün açığı (0-Day) ile ilgili acil güvenlik güncellemeleri yayınladı. Şirket tarafından yayınlanan ayrıntılara göre MacOS Sequoia'da CVE-2024-44308 olarak izlenen JavaScriptCore ve CVE-2024-44309 olarak izlenen WebKit bileşenlerinde zafiyetler yer alıyor. Bu iki zafiyette Google

By Editor
Siber tehdit istihbaratı girişimi ThreatMon, Pragma Capital Partners'tan yatırım aldı

Siber tehdit istihbaratı girişimi ThreatMon, Pragma Capital Partners'tan yatırım aldı

Siber tehdit istihbaratı alanınında çözümler sunan ThreatMon, Pragma Capital Partners'tan (PCP) yatırım aldı. Gerçekleşen yatırım ile ilgili herhangi bir finansal veri paylaşılmadı. 2018 yılında kurulan ThreatMon'un verdiği hizmetler arasında atak yüzeyi istihbaratı, siber tehdit istihbaratı, marka koruması, darkweb izleme ve tedarik zinciri gibi alanlar yer alıyor

By Editor
Bitdefender, ShrinkLocker fidye yazılımı için şifre çözücü yayınladı

Bitdefender, ShrinkLocker fidye yazılımı için şifre çözücü yayınladı

Siber güvenlik şirketi Bitdefender, geçmişten kalma kalıntıları kullanan basit ama etkili bir fidye yazılımı olarak tanımladığı ShrinkLocker ile ilgili şifre çözücü yayınladı. Bitdefender tarafından ShrinkLocker ile ilgili hem şifre çözücü hem de fidye yazılımın nasıl çalıştığı ile ilgili ayrıntılı bir teknik araştırma yayınlandı. ShrinkLocker'ın daha karmaşık şifreleme algoritmalarına

By Editor