2025 yılının Mart ve Eylül ayları arasında dört dalga halinde gerçekleşen SideWinder saldırıları, Güney Asya’daki diplomatik kurumları hedef alan gelişmiş çok aşamalı bir oltalama kampanyasını ortaya koyuyor. Trellix araştırmacıları Ernesto Fernández Provecho ve Pham Duy Phuc tarafından yayımlanan rapora göre, grup Microsoft Word istismar vektörlerine ek olarak, yeni bir PDF ve ClickOnce tabanlı enfeksiyon zincirini kullanmaya başladı.
ClickOnce ve Sahte DLL ile Gizlenen Tehdit
İlk aşamada, mağdura gönderilen oltalama e-postalarında “Inter-ministerial meeting Credentials.pdf” veya “India-Pakistan Conflict -Strategic and Tactical Analysis of the May 2025.docx” gibi dikkat çekici başlıklara sahip Word ve PDF belgeleri yer alıyor. Bu belgeler, mağduru Adobe Reader’ın en güncel sürümünü indirmeye teşvik eden butonlar içeriyor. Bu işlem, uzak bir sunucudan (“mofa-gov-bd.filenest[.]live”) ClickOnce uygulamasının indirilmesini tetikliyor. ClickOnce uygulaması, MagTek Inc.’den alınmış geçerli bir imzaya sahip “ReaderConfiguration.exe” adlı meşru bir yürütülebilir dosya olarak kılık değiştirmiş durumda. Uygulama çalıştırıldığında, kötü amaçlı “DEVOBJ.dll” adlı bir DLL yan yükleniyor ve mağdura sahte bir PDF gösteriliyor.
ModuleInstaller ve StealerBot: Çok Katmanlı Kötü Amaçlı Yazılım Zinciri
Sahte DLL, ModuleInstaller adlı .NET tabanlı bir yükleyiciyi şifre çözerek başlatıyor. ModuleInstaller, enfekte sistemde kapsamlı profil çıkarma yaparak, StealerBot adlı gelişmiş bir .NET implantını teslim ediyor. StealerBot, ters kabuk açabilme, ek kötü amaçlı yazılım indirme ve ekran görüntüsü, tuş vuruşu, şifre ve dosya gibi hassas verileri toplama yeteneklerine sahip. Bu kötü amaçlı yazılımlar, Kaspersky tarafından 2024 Ekim ayında Orta Doğu ve Afrika’daki stratejik hedeflere yönelik saldırılarda da tespit edilmişti.
Güvenlik Analizi ve Teknik Derinlik
ClickOnce uygulamasının komut ve kontrol (C2) sunucusuna yaptığı istekler sadece Güney Asya bölgesiyle sınırlandırılmış ve yük indirme yolları dinamik olarak oluşturuluyor, bu da analiz ve tespit çabalarını zorlaştırıyor. Ayrıca, saldırı zincirinde kullanılan .NET implantları, AsyncRAT benzeri ters kabuk yetenekleri ve gelişmiş veri sızdırma modülleri barındırıyor. ModuleInstaller, Pydantic AI tabanlı konfigürasyon doğrulaması ve MCP istemcisi entegrasyonlarıyla otomatikleştirilmiş yükleme süreçlerine sahip. Bazı örneklerde, konteyner ortamlarında rastgele açılan SSH portları üzerinden ek lateral hareketler gerçekleştirildiği gözlemlenmiştir.
Sonuç ve Değerlendirme
SideWinder’ın bu yeni saldırı zinciri, grubun gelişmiş kaçınma teknikleri ve jeopolitik bağlamları derinlemesine anlama yeteneğini ortaya koyuyor. Çok dalgalı oltalama kampanyaları, hedef odaklı ve son derece spesifik tuzaklar oluşturma becerisini gösterirken, meşru uygulamaların yan yükleme için kullanılması da grubun teknik olgunluğunu vurguluyor. Güvenlik profesyonelleri için bu tür çok katmanlı ve dinamik saldırı modellerine karşı savunma stratejileri geliştirmek kritik önem taşıyor.