SOCRadar’ın son incelemesine göre PEEP adlı kötü amaçlı çerçeve, Chrome ve Edge’i kullanıcı oturumu içinde çalışan kalıcı bir arka kapıya çeviriyor. Saldırı, önce bir makineye başka yollarla erişim sağlanmış olmasını gerektiriyor; ardından zararlı yazılım, tarayıcı profillerine doğrudan yerleşerek yerel sistem komutları çalıştırabiliyor, dosya yönetebiliyor ve tarayıcı verilerini dışarı sızdırabiliyor.
Araştırmada, PEEP’in tarayıcı eklentisi kılığına girerek “Smart Bookmarks” adı altında dağıtıldığı ve Chrome ile Edge’in Web Store denetimlerini atlatacak biçimde profillere enjekte edildiği belirtildi. Kurulum mekanizması, Chromium’un Secure Preferences bütünlük değerlerini taklit ederek kullanıcı onayını da devre dışı bırakıyor. Böylece eklenti, normal bir uzantı gibi görünse de aslında doğrudan sisteme gömülü halde çalışıyor.
PEEP’in temel bileşeni, her 30 saniyede bir komuta ve kontrol sunucusuna HTTP üzerinden yoklama gönderen bir ajan. Bu iletişim sırasında saldırganın kullandığı adresler arasında 206.237.30[.]232 ve xfjcc[.]fun yer alıyor. Aynı mekanizma, tarayıcı geçmişini, açık sekme bilgisini ve oturum çerezlerini de dışarı aktarıyor. Uzantı yalnızca gözlem yapmıyor; uzaktan erişim, oturum ele geçirme, kimlik bilgisi toplama ve web sayfalarını değiştirme gibi işlevler de üstleniyor.
Çerçevenin altyapısı açık kaynaklı RedExt projesine dayanıyor. RedExt, tarayıcı verisi analizi ve kırmızı takım çalışmaları için geliştirilen bir çerçeve olarak biliniyor ve daha önce GlassWorm saldırılarında da kullanılmıştı. PEEP ise bu temeli daha ileri taşıyor; özel kurulum rutinleri, native host köprüsü, nabız telemetrisi, güncelleme kanalı ve genişletilmiş komut seti ile RedExt’ten türetilmiş bir sürüm haline geliyor.
Yapı, ilk erişim sağlamıyor. Bu nedenle PEEP, saldırganın bir sistemi başka bir yöntemle ele geçirdikten sonra devreye aldığı bir “post-compromise” çerçeve olarak tanımlanıyor. Faaliyetin arkasındaki kişi ya da grup resmen kimliklendirilmiş değil. Yine de kaynak kodunda görülen Çince dil izleri, operasyonun Çince konuşan bir tehdit aktörüyle bağlantılı olabileceği ihtimalini güçlendiriyor.
Uzantı, tarayıcıyı açtığında otomatik olarak etkinleşecek şekilde tasarlanmış. Bunun için Secure Preferences dosyası üzerinde oynanıyor ve eklenti tarayıcı başlatıldığında kendiliğinden devreye giriyor. Dağıtımda Chrome Web Store ya da diğer resmî mağazalar kullanılmadığı için saldırganlar ExtensionInstallForcelist ve ExtensionSettings politikalarına da yaslanıyor. Bunun yanında side-loading teknikleri ve ScriptCache için bir geri dönüş mekanizması da devrede tutuluyor.
Kurulum ve kalıcılık için birden fazla PowerShell betiği kullanılıyor. install_silent.ps1 adlı betik, Developer Mode’u açarak istenen uzantıların yan yükleme ile kurulmasına izin veriyor. patch_secure_prefs.ps1, Secure Preferences dosyasını yamalıyor. force_enable.ps1 ise uzantıyı Preferences içindeki external_uninstalls listesinden çıkarıyor, CRX dosyasını %LOCALAPPDATA%PEEPcrx altına yerleştiriyor, HKCU Extensions anahtarı ve bir External Extensions JSON manifest’i üzerinden yeniden kaydediyor ve ardından tarayıcıyı yeniden başlatıyor.
Aynı işlevin Linux tarafı için de taşındığı görülüyor. patch_secure_prefs_linux.py adlı Python betiği, PowerShell sürümündeki yama davranışını tekrar ediyor. Bu da saldırganın aynı yaklaşımı Linux ortamlarına uyarlamaya çalıştığını gösteriyor.
PEEP yerleştirildikten sonra bir yapılandırma dosyasını okuyor, buradan C2 bilgilerini çıkarıyor ve otomatik veri toplama sürecini başlatıyor. Ayrıca tüm aktif web sayfalarına gömülen content.js adlı bir içerik betiği de çalışıyor. Bu sayede uzantı, yalnızca tarayıcı düzeyinde kalmıyor; ziyaret edilen sayfaların içine de sızıyor.
Komuta-kontrol tarafında birden fazla uç nokta kullanılıyor. /api/register bağlantısı bulaşmayı kayda geçiriyor. /api/agents/<id>/heartbeat üzerinden tarayıcının User-Agent bilgisi, işletim sistemi ve saat dilimi gönderiliyor. /api/extension_update/ ve /api/extension_crx/ uzantının kendi güncellemesini yönetiyor. /api/agents/<id>/task_result, çalıştırılan komutların çıktısını iletiyor. /api/exfil ise çerezler, son ziyaretler, açık sekmeler, aktif URL, genel IP adresi, yerel ayar ve saat dilimi gibi otomatik toplanan verileri taşıyor.
Analizde ayrıca /health uç noktasının sistem durumunu giriş yapmadan gösterdiği, /login sayfasının ise 5001 numaralı portta çalışan C2 paneline ait oturum arayüzünü sunduğu aktarıldı. Bu ayrıntılar, panelin iç yapısının da saldırgan açısından uzaktan yönetilebilir olduğunu ortaya koyuyor.
Native Messaging Host bileşeni, PEEP’i klasik bir parola hırsızından çıkarıp uzaktan erişim aracına dönüştüren kritik parça olarak öne çıkıyor. Uzantı, tarayıcı verilerini toplarken com.peep.lab/nm_host.exe dosyasını çağırıyor; bu süreçle shell komutları çalıştırıyor, dosyaları yönetiyor, süreçleri ve servisleri keşfediyor. Tarayıcı bazlı komutlar arasında ekran görüntüsü alma, pano okuma ve JavaScript enjeksiyonu da yer alıyor ve bunlar yerel olarak yürütülüyor.
SOCRadar’ın aktardığına göre, “Authorized CTF” ifadesine çok sayıda referans da bulunuyor. Bu tür çerçevelendirme, saldırganın yapay zekâ araçlarının güvenlik sınırlamalarını gevşetmek ve zararlı yazılım geliştirmeye destek almak için CTF ortamı izlenimi vermiş olabileceği ihtimalini gündeme getiriyor. Araştırmacılar, /health uç noktasında 34 ajan kaydı, 10 aktif oturum ve 507 veri kaydı gördüklerini de belirtiyor. Ancak bu sayılar arasında gerçek enfekte sistemlerle test girişimlerini ya da doğrulanmış dağıtımları ayırmanın mümkün olmadığı vurgulanıyor.
PEEP’in çalışma mantığı, imzalı tarayıcı sürecinin içine yerleşerek tarayıcı ile işletim sistemi arasındaki sınırı aşması üzerine kurulu. Böylece yeni ya da imzasız ikili dosyalardaki bazı tespit mekanizmalarını atlayabiliyor. Kullanıcı bağlamında çalışan uzantı, tarayıcı artifaktlarını çekiyor ve browser sandbox’ının dışına çıkarak sisteme komut yürütme, kimlik bilgisi toplama ve oturum kötüye kullanımı için bir sıçrama tahtası işlevi görüyor.
SOCRadar, PEEP’in kullanıcı context’i içinde çalıştığını ve Chrome ile Edge üzerinde kalıcı bir arka kapı gibi davrandığını vurguladı. Kurumun bulgularına göre uzantı, tarayıcı profilinde yaşayan bir eklenti gibi görünerek tarayıcı sandbox’ını aşıyor ve işletim sistemine ulaşmak için native-messaging köprüsünü kullanıyor. Bu yapı, imzalı tarayıcı sürecinin içinden çalıştığı için yeni veya imzasız ikililere bakarak yapılan bazı tespitlerden de sıyrılabiliyor.
Uzantının ana ajanı, beacon döngüsünü yürütmek için /api/commands uç noktasını sorguluyor. Aynı süreçte tarayıcı verileri toplanıyor, ek görevler alınıyor ve sonuçlar geri gönderiliyor. SOCRadar’ın belirttiğine göre uzantı, bunun yanında /api/agents/<id>/heartbeat ile User-Agent, işletim sistemi ve saat dilimi bilgilerini iletiyor; /api/exfil üzerinden de çerez, yakın tarih, açık sekme, aktif URL, genel IP adresi, locale ve saat dilimi gibi verileri aktarıyor.
Kurulum tarafında kullanılan yöntemler arasında side-loading, enterprise force-install politikaları, preference-integrity manipulation ve ScriptCache fallback yer alıyor. SOCRadar, PEEP’in Secure Preferences dosyasını değiştirerek uzantıyı tarayıcı açıldığında otomatik etkin hale getirdiğini, ayrıca ExtensionInstallForcelist ve ExtensionSettings politikalarından yararlandığını aktardı. Bu mekanizmalar, resmi mağazalarda bulunmayan bir uzantının kurumsal ortamlarda da kalıcı kalmasına imkan veriyor.
Yerleştirme sürecinde üç PowerShell betiği öne çıkıyor. install_silent.ps1 Developer Mode’u açarak yan yükleme ile rastgele uzantı kurulmasına izin veriyor. patch_secure_prefs.ps1 Secure Preferences dosyasını yamalıyor. force_enable.ps1 ise uzantıyı Preferences içindeki external_uninstalls listesinden siliyor, CRX paketini %LOCALAPPDATA%PEEPcrx altına koyuyor, HKCU Extensions anahtarı ve bir External Extensions JSON manifest’i üzerinden yeniden kaydediyor, sonra tarayıcıyı yeniden başlatıyor.
Linux tarafında ise patch_secure_prefs_linux.py adlı Python betiği aynı işlevi yerine getiriyor. SOCRadar, bunun operasyonu Windows dışındaki ortamlara da genişletme girişimi olduğunu belirtti. Uzantı etkinleştiğinde bir yapılandırma dosyasını ayrıştırıyor, buradan komuta ve kontrol bilgilerini okuyor ve otomatik veri toplama işlevini başlatıyor. content.js adlı içerik betiği de tüm aktif web sayfalarına gömülerek aynı anda birden fazla sekmede çalışıyor.
Native Messaging Host bileşeni, tarayıcı düzeyindeki faaliyeti sistem düzeyine taşıyor. SOCRadar’a göre com.peep.lab/nm_host.exe, shell komutları çalıştırmak, dosya yönetmek, süreçleri ve servisleri keşfetmek için kullanılıyor. Tarayıcı tabanlı komutlar ise ekran görüntüsü alma, pano verisi okuma ve JavaScript enjeksiyonu gibi işlemleri kapsıyor. Kurum, bu yapının saldırıyı basit bir kimlik bilgisi hırsızlığından uzaktan erişim aracına dönüştürdüğünü aktardı.
PEEP’in altyapısında RedExt yer alıyor. Açık kaynaklı bu çerçeve, tarayıcı verisi analizi ve kırmızı takım çalışmaları için geliştirilmişti ve daha önce GlassWorm saldırılarında da kullanılmıştı. PEEP, RedExt’in üstüne özel kurulum rutinleri, native host köprüsü, heartbeat telemetrisi, güncelleme kanalı ve daha geniş bir komut seti ekleyerek bundan türetilmiş bir yapı haline geliyor.
Kampanyanın kaynağı kimliklendirilmiş değil. Buna karşın kaynak kodunda bulunan Çince dil kalıntıları, arkasında Çince konuşan bir tehdit aktörünün olabileceğine işaret ediyor. SOCRadar, /health uç noktasında 34 ajan girişi, 10 etkin oturum ve 507 veri kaydı gördüğünü de belirtti; ancak bu kayıtlar arasında gerçek enfekte makinelerle test girdilerini ya da doğrulanmış dağıtımları ayırmanın mümkün olmadığını vurguladı.
PEEP, browser sandbox’ını aşmak için imzalı tarayıcı sürecinin içinden çalışıyor ve böylece Chrome ile Edge üzerinde kalıcı erişim sağlıyor. Kurum, uzantının tarayıcı artifaktlarını topladığını, oturum çerezlerine ve açık sekmelere ulaştığını, ardından bunları komuta ve kontrol altyapısına ilettiğini aktardı. Aynı yapı, sistem komutlarının yürütülmesi ve web sayfalarının değiştirilmesi için de kullanılıyor.