Blind Eagle sahte mahkeme tebligatlarıyla geri döndü: SVG içinde HTML smuggling, bellekte çalışan AsyncRAT türevi
Zenox'un raporuna göre APT-C-36 olarak da bilinen Blind Eagle, Latin Amerika'daki adli, mali, idari ve eğitim kurumlarını İspanyolca ve Portekizce yargı temalı phishing e-postalarıyla hedef alıyor. Zincir, Kolombiya Başsavcılığı'nı taklit eden bir SVG dosyasıyla başlıyor ve AsyncRAT/DCRat soyundan bir RAT ile bitiyor.
2018'den bu yana aktif olduğu değerlendirilen İspanyolca konuşan threat actor Blind Eagle (APT-C-36), Latin Amerika'daki kurumları hedef alan yeni bir kampanyayla yeniden ortaya çıktı. Güvenlik şirketi Zenox'un The Hacker News ile paylaştığı rapora göre saldırganlar mahkeme tebligatı, savcılık bildirimi, tutela (anayasal başvuru) süreci ve idari belge görünümündeki İspanyolca ve Portekizce e-postalar kullanıyor.
Hedefte dava, sözleşme, adli işlem veya kurumsal hizmet talepleriyle uğraşan çalışanlar var. Zenox, kampanyanın adli, mali, idari ve eğitim kurumlarını hedeflemesinin saldırganlara son derece hassas hukuki ve finansal bilgilere erişim imkânı verdiğini vurguluyor.
Zincir: SVG'den bellekteki RAT'a
İncelenen bir e-postada Kolombiya yargı temalı bir XHTML eki bulunuyor. Bu dosya aslında silah haline getirilmiş bir SVG görseli ve Kolombiya Başsavcılığı'nı (Fiscalía General de la Nación) taklit eden sahte bir sayfa açıyor. Sayfa, HTML smuggling tekniğiyle bir sonraki aşamadaki ZIP arşivini doğrudan tarayıcıda birleştiriyor; böylece dosya e-posta güvenlik kontrollerinden ek olarak geçmiyor.
Arşivdeki JavaScript dropper "Network Configuration Auditor" adlı bir araç kılığında. Sistem sürümü, ağ profili, bellek miktarı ve bilgisayar adı gibi bilgileri topluyor; ardından bir VBScript çalıştırarak Windows AMSI ve ETW mekanizmalarını atlatıyor, dikkat dağıtmak için ekranda sahte bir ceza tebligatı gösteriyor. Zararlı ilk XHTML dosyasını siliyor, Mark of the Web işaretini temizliyor ve Windows Başlangıç klasörüne yerleşerek kalıcılık sağlıyor. Son adımda PowerShell, kod yapısı ve davranışı itibarıyla AsyncRAT'ın DCRat soyundan bir çatalı olan RAT'ı bellekte çözüp çalıştırıyor.
Gerçek kurbana ulaştı mı?
Zenox, saldırıların gerçek hedeflerde başarılı olduğuna dair bir kanıt bulunmadığını belirtiyor. Başarılı bir bulaşma ise keşif, belge toplama, uzaktan erişim, tuş kaydı, ekran görüntüsü alma ve şifreli kanal üzerinden veri sızdırma anlamına geliyor. Şirket, Brezilya altyapısı, çalışma saat dilimi ve kurban profiline dayanarak operasyonu Blind Eagle'ın Brezilya'daki bir operasyon kümesine bağlıyor.
Ne yapılmalı?
- SVG ve XHTML eklerini kısıtlayın: E-posta ağ geçidinde dış kaynaklı SVG, XHTML ve HTML eklerini karantinaya alın ya da içerik dönüştürmeden geçirin.
- Hukuk ve mali birimleri bilgilendirin: Tebligat, dava ve savcılık bildirimi görünümlü e-postaların resmi kanaldan teyit edilmesi gerektiğini hatırlatın.
- Script çalıştırmayı izleyin: Kullanıcı profilinden başlatılan wscript, cscript ve PowerShell zincirleri ile Başlangıç klasörüne yeni dosya yazılması EDR'da alarm üretmeli.
- AMSI ve ETW kurcalaması: Bu mekanizmaları devre dışı bırakmaya yönelik davranışlar için tespit kurallarınızı gözden geçirin.
