Son analizler, tehdit aktörlerinin ISO formatındaki tuzak dosyalarını kullanarak hem uzaktan erişim trojanları (RAT) hem de kripto madencisi yazılımlarını yaydığını ortaya koydu. Bu saldırılar, özellikle finans, teknoloji ve kamu sektöründeki kurumları hedef alırken, ev kullanıcıları da risk altında bulunuyor. Kampanya, 2024 başından itibaren dünya genelinde yaygınlık kazanmış durumda.
Saldırı Zinciri ve Teknik Detaylar
Saldırı, genellikle kimlik avı e-postalarıyla başlıyor. Kullanıcılar, ISO dosyası biçiminde gelen ekleri açtıklarında, içindeki kötü amaçlı yazılımlar devreye giriyor. Bu ISO dosyaları, içinde gizlenmiş AsyncRAT varyantları ve kripto madencileri barındırıyor. AsyncRAT, hedef sistemlerde uzaktan komut yürütme, dosya hırsızlığı ve kalıcılık sağlamak için kullanılırken, kripto madencileri sistem kaynaklarını gizlice kullanarak saldırganlara gelir sağlıyor.
Ek olarak, kampanyada CPA (Cost Per Action) dolandırıcılığı da görülüyor. Bu yöntemle, enfekte edilen cihazlar yazılım kayıt kılığında içerik kilidi sayfalarına yönlendirilerek dolandırıcılık amaçlanıyor. Bu, saldırının finansal boyutunu güçlendiriyor.
MITRE ATT&CK çerçevesinde, saldırganlar T1566 (Phishing), T1059 (Komut ve Betik Çalıştırma), T1041 (Komut ve Kontrol Kanalı) tekniklerini kullanıyor. Ayrıca, saldırı sırasında EDR ve SIEM sistemlerinin atlatılması için çeşitli obfuscation ve anti-analiz yöntemleri devreye sokuluyor.
Hangi Sistemler Risk Altında?
Özellikle Windows tabanlı sistemler, ISO dosyalarının yaygın kullanımı nedeniyle öncelikli hedef. Kurumsal ağlarda, zayıf segmentasyon ve eksik MFA uygulamaları saldırganların hareket kabiliyetini artırıyor. Ayrıca, ev kullanıcıları da e-posta güvenliği önlemleri yetersizse risk altında kalıyor.
Siber Güvenlik Ekipleri İçin Öneriler
- E-posta güvenliği çözümlerinde ISO dosyalarının taranmasını zorunlu kılın.
- EDR sistemlerinde AsyncRAT ve benzeri RAT imzalarını güncel tutun.
- SIEM loglarında anormal komut çalıştırma ve ağ trafiği analizlerini artırın.
- Ağ segmentasyonu ile kritik sistemleri izole edin ve gereksiz portları kapatın.
- MFA uygulamasını zorunlu hale getirerek kimlik doğrulamayı güçlendirin.
- Kullanıcıları ISO dosyaları ve şüpheli ekler konusunda bilinçlendirin.
- Olay müdahale planlarını güncelleyerek hızlı tespit ve izolasyon süreçleri oluşturun.
- Kripto madencisi aktivitesi için sistem kaynak kullanımını sürekli izleyin.
Teknik Özet
- Kullanılan zararlılar: AsyncRAT varyantları, kripto madencileri.
- Hedef sektörler: Finans, kamu, teknoloji ve genel kullanıcılar.
- Kullanılan zafiyetler: ISO dosyalarının kötüye kullanımı, sosyal mühendislik (phishing).
- Saldırı zinciri: Phishing e-postası → ISO tuzağı açılması → RAT ve madenci kurulumu → C2 iletişimi → Finansal dolandırıcılık ve kaynak sömürüsü.
- Önerilen savunma: E-posta güvenliği, güncel yamalar, MFA, ağ segmentasyonu, EDR ve SIEM entegrasyonu.