FTP Banner’ları RAT Dağıtımına Dönüştü
Siber korsanlar, FTP sunucularının karşılama satırlarını kötü amaçlı komut dağıtımına çevirdi. Yapılan son analizlerde E4del ve PINHOLE adıyla izlenen, daha önce rapor edilmemiş iki uzaktan erişim truva atının bu yöntemle yayıldığı ortaya kondu. Saldırılar, sahte fatura ve kupon talepleri gibi oltalama içeriklerinden, WebDAV ve PowerShell zincirlerine uzanan çok aşamalı bir kurgu kullanıyor.
FTP banner, bir istemci sunucuya bağlandığında ilk anda gönderilen karşılama metni olarak biliniyor. Araştırmacılar, bu alanın daha önce genellikle web tabanlı dead drop resolver (DDR) yapılarında görülen komut saklama mantığını FTP protokolünün başlangıç yanıtına taşıdığını belirtiyor. İlk işaretler geçen ayın başında MalwareHunterTeam tarafından paylaşılmış, ancak bu tekniğin sahada ilk kez bu kadar net görüldüğü vurgulanmıştı.
Bu yöntem, geleneksel web tabanlı DDR’lara kıyasla daha gizli değil. Güvenlik kontrolleri, bilinmeyen sunuculara yapılan FTP bağlantılarını anomali olarak işaretleme eğiliminde. Yine de saldırganlar, meşru servisleri komuta-kontrol altyapısına işaret etmek ve normal ağ trafiğine karışmak için kullanmayı sürdürüyor. SOCRadar’ın teknik raporunda, bu mekanizmanın “malware stagers” için doğrudan protokolün ilk yanıtından komut çekme imkânı verdiği aktarıldı.
İlk saldırı zincirinde İspanyolca hazırlanmış kupon talebi temalı oltalar kullanılıyor. Kullanıcı, Windows kısayol dosyasını yani LNK içeriğini çalıştırmaya ikna ediliyor. Bu LNK dosyası, sonraki aşama komutunu FTP banner’ından çekiyor. Ardından komut, bir WebDAV sunucusuna bağlanarak DLL içeriğini indiriyor ve conhost üzerinden rundll32.exe ile çalıştırıyor.
WebDAV tabanlı bu yaklaşım, yakın zamanda Microsoft ve Gen Threat Labs tarafından da işaret edilen ClearFake kampanyalarında kullanıldı. O kampanyalarda WordlistLoader ve Amatera Stealer, ClickFix tarzı sosyal mühendislik yemleriyle dağıtılmıştı. Grup, meşru siteleri ele geçirip sahte CAPTCHA sayfaları yerleştirerek kullanıcıları zararlı komut çalıştırmaya yönlendiriyor. Böylece aynı WebDAV tekniği, farklı kampanyalarda komut alma ve yük indirme aşamasında yeniden kullanılıyor.
Analize göre 157.254.194[.]31:21 adresindeki FTP banner, çok aşamalı bir dağıtım zinciri kullanıyor. İlk banner, 167.148.41[.]164:21 üzerindeki ikinci bir FTP banner’ı çağırıyor. Bu ikinci aşama PowerShell çalıştırıyor, ZIP arşivi içindeki ikili dosyayı indirip açıyor ve yürütüyor. Nihai hedef, Electron uygulaması içine gömülü E4del RAT’ini teslim etmek. SOCRadar, bu zincirin saldırganların FTP banner’ı üzerinden ikinci bir banner’a, ardından da sıkıştırılmış bir ikiliye geçiş yaptığını bildirdi.
E4del, Discord kılığındaki dijital imzalı bir Electron uygulamasının içine yerleştirilmiş Node.js tabanlı bir RAT olarak tanımlanıyor. Zararlı yazılım; savunma atlatma, kalıcılık, sistem parmak izi toplama ve şifreli C2 iletişimi kurma yeteneklerine sahip. Operatörler, etkileşimli ters kabuk açabiliyor, ekran görüntüsü alabiliyor, canlı masaüstü aktarımı yapabiliyor, dosya indirebiliyor ve ek yükler gönderebiliyor. SOCRadar, RAT’in komut almak için interaktif reverse shell, screenshot capture, live desktop streaming ve file download gibi işlevler taşıdığını kaydetti.
RAT’in beacon mekanizması da dikkat çekici biçimde dinamik tasarlanmış. Araştırmacılar, sistemin normal ağ trafiğine karışmak için kademeli bir jitter yapısı kullandığını aktarıyor. E4del, son komuttan sonraki ilk 20 saniyede “Active” moda geçiyor; bu sırada sunucuyla 200 milisaniye ile 2 saniye arasında değişen aralıklarla yoklama yapıyor.
20 ila 40 saniye boyunca yeni görev gelmezse trojan “Semi-Active” moda geçiyor ve kontrol sunucusuna dönüş aralığını 2 ila 5 saniye bandına çıkarıyor. 40 saniyeden sonra ise “Inactive” moda geçiyor; bu durumda C2 denetim aralıkları 5 ila 9 saniye arasına uzuyor. SOCRadar, bu davranışın hedef ortamda olağan ağ etkinliğiyle karışmayı amaçladığını belirtiyor. Şirketin aktardığına göre beaconing mekanizması üç ayrı durum arasında, son alınan görevden geçen süreye göre geçiş yapıyor.
FTP banner’ı kötüye kullanan ikinci aile PINHOLE olarak adlandırılıyor. Araştırmacılar, bu zararlının daha gelişmiş bir yapı sergilediğini ve C2 bilgilerini almak için Pinterest ile SurveyMonkey gibi yüksek itibarlı platformları DDR olarak kullandığını bildiriyor. İletişim trafiği ayrıca Cloudflare Workers üzerinden proxy ediliyor. SOCRadar, bu zincirin komuta-kontrol detaylarını toplamak için yüksek reputasyonlu servisleri araç olarak kullandığını açıkladı.
209.99.185[.]38:21 adresindeki FTP banner’da yer alan komutlar, PowerShell içinde MSXML2.XMLHTTP COM nesnesini kullanarak ikincil bir komut betiğini çekiyor. Bu betik hxxps[://]cloudflare.milicare[.]in/app/c adresinden indiriliyor, %TEMP%u.cmd adıyla kaydediliyor, çalıştırılıyor ve ardından iz bırakmamak için siliniyor. SOCRadar, betiğin kısa süre içinde silinmesinin adli izleri azaltmaya dönük bir adım olduğunu belirtti.
Bu betik, ana yükün açılması ve başlatılması için kullanılan bir dropper işlevi görüyor. İlk aşamada karşılaşılan ikili dosya, var olmayan Weston Computing Systems Ltd. adlı bir şirketten geliyormuş gibi görünen bir güncelleme aracı kılığında hazırlanmış. Dosya, güvenlik yazılımlarını atlatmak için Halo’s Gate tekniğini kullanıyor; C2 çözümlemesi başarılı olursa zararlı yazılım bir sonraki aşama yükünü sorguluyor. Böylece dağıtım zinciri, FTP banner’dan gelen komutla başlayıp sahte güncelleme görünümüne kadar ilerliyor.
Sonraki yük, Early Bird APC Injection sürecine devrediliyor. Bu aşamada süreç askıya alınmış meşru bir işlem içinde çalıştırılıyor ve altı katmanlı bir açma işleminden sonra 119 KB boyutundaki native x86-64 PE yürütülebilir dosya çıkarılıyor. Amaç, kurulu güvenlik yazılımlarının tespitin önüne geçmek. KPMG Israel’in açıklamasında, bu tekniğin klasik APC Injection yönteminin üzerine kurulduğu ve shellcode’un asenkron prosedür çağrılarıyla yürütüldüğü anlatılıyor.
KPMG Israel’in yazısında, bu yaklaşımın askıya alınmış bir çocuk süreç oluşturduğu ve shellcode’u bu süreç içinde çalıştırdığı belirtildi. Aynı açıklamada, yönteminin geleneksel antivirüs ve EDR sistemlerinin kolay tanıdığı shellcode kalıplarını aşmak için tasarlandığı kaydedildi. Bu açıklama, zararlının tespitten kaçınmak için süreç enjeksiyonu ve askıya alınmış işlem kullanımını bir araya getirdiğini ortaya koyuyor.
Son aşamada belleğe enjekte edilen yürütülebilir dosya PINHOLE’un ana RAT işlevlerini taşıyor. Zararlı yazılım, C2 sunucusuyla HTTP GET ve POST istekleri üzerinden konuşuyor; komutları çekiyor, sonuçları geri gönderiyor, dosya indirip yükleyebiliyor ve henüz içeriği netleşmeyen bir tarayıcı hırsızı modülü almaya hazırlanıyor. Ayrıca sunucudan komut alma ve sonuç iletme trafiğini HTTP üzerinden sürdürüyor.
PINHOLE RAT’te 14 komut bulunuyor. Bu komutlar dosya ve dizin listeleme, dosya sızdırma, yük veya ikili çalıştırma, dosya arama, belirli dosyaları silme, çalışan süreçleri listeleme, bir süreci PID ile sonlandırma, ekran görüntüsü alma, PowerShell komutları çalıştırma ve anonim borular kullanarak bir PowerShell oturumu başlatma işlevlerini kapsıyor. Yani zararlı, hem dosya sistemini tarayabiliyor hem de PowerShell oturumu açarak komut yürütebiliyor.
Saldırganların ayrıca 69.48.228[.]126:5000 adresinde “FTP Stats Panel” adlı ayrı bir kontrol paneli tuttuğu da tespit edildi. Panel, betik çalıştırma sayısını, toplam bağlantıları, aktif veya engellenen benzersiz IP adreslerini izleyerek kampanyaların başarısını takip etmeye yarıyor. İnceleme sırasında panelde yalnızca 11 yürütme olayı görüldü; bu da operasyonun henüz erken aşamada olduğunu gösteriyor. SOCRadar, panelin script executions, total connections ve unique active or blocked IP addresses verilerini topladığını bildirdi.
İncelemeyi yapan ekip, FTP banner’ların DDR olarak kullanılmasının yaratıcı ama web tabanlı örneklerden daha az gizli bir evrim olduğuna işaret ediyor. Aynı teknik, komutları doğrudan protokolün banner alanına yerleştirerek kötü amaçlı yüklerin ilk yanıt içinden çekilmesine izin veriyor. İlk erişim yöntemi kısayol dosyası oltaları üzerinden ilerlese de, saldırganların aynı banner istismarını ClickFix kampanyalarına uyarlaması da mümkün görünüyor. SOCRadar, bu tekniğin geleneksel web tabanlı DDR kullanımını protokolün başlangıç yanıtına taşıdığını ve kötü amaçlı komutları banner içine gömmeye izin verdiğini söyledi.