Kaspersky araştırmacıları, 2020 yılının 3. çeyreğinde tehdit aktörleri tarafından kullanılan genel yaklaşımda bir bölünme gözlemledi. Dünya çapında APT gruplarının taktiklerinde, tekniklerinde ve prosedürlerinde (TTP’ler) oldukça önemsiz bulaşma vektörleri ve araç setlerinin kullanıldığı etkili kampanyaların yanı sıra birçok gelişmeye de tanık olundu.
Geçtiğimiz çeyreğin en dikkate değer bulgularından biri, herhangi bir modern bilgisayar cihazının temel bir donanım bileşeni olan UEFI için özel bir önyükleme kiti kullanarak kurbanlardan birine bulaşmaya karar veren, bilinmeyen bir aktör tarafından yürütülen bir kampanyaydı. Bu enfeksiyon, MosaicRegressor adlı çok aşamalı bir bütünün parçasıydı. UEFI üzerinden bulaşması, cihaza yerleştirilen kötü amaçlı yazılımın son derece kalıcı olmasını sağladı ve kaldırılmasını son derece zor hale getirdi. Bunun da ötesinde, kötü amaçlı yazılım tarafından her kurbanın cihazına indirilen yük farklı olabiliyordu. Bu esnek yaklaşım, saldırganın yükünü daha iyi gizlemesini sağladı.
Diğer oyuncular stenografiden yararlandı. Windows Defender güvenlik çözümü için ayrılmaz ve onaylanmış bir program olan Authenticode imzalı Windows Defender ikili dosyasını kötüye kullanan yeni bir yöntem, Avrupa’da bir telekom şirketine yapılan saldırıda tespit edildi. Ke3chang ile ilişkilendirilen devam eden bir kampanya, Okrum arka kapısının yeni bir sürümünü kullandı. Okrum’un bu güncellenmiş sürümü, benzersiz bir yükleme tekniğiyle Authenticode imzalı bir Windows Defender ikili dosyasını kötüye kullanıyor. Saldırganlar, Defender yürütülebilir dosyasındaki ana yükü gizlemek için steganografi kullandı ve dijital imzayı geçerli kılarak tespit şansını azalttı.
Diğer birçok aktör de kendilerini daha esnek ve algılanmaya daha az eğilimli hale getirmek için araç setlerini güncellemeye devam ediyor. MuddyWater APT grubu tarafından geliştirilenler gibi çeşitli çok aşamalı çerçeveler vahşi ortamda görünmeye devam ediyor. Bu eğilim diğer kötü amaçlı yazılımlar için de geçerli. Örneğin, saldırganın daha fazla yük türü yürütmesini sağlayan yeni bir özellikle güncellenen Dtrack RAT (uzaktan erişim aracı) gibi.
Bununla birlikte, bazı oyuncular hala düşük teknolojili enfeksiyon zincirlerini başarıyla kullanıyor. Bir örnek, Kaspersky araştırmacıları tarafından DeathStalker olarak adlandırılan grup. Bu APT, esas olarak finans sektöründe faaliyet gösteren hukuk firmalarına ve şirketlere odaklanıyor ve mağdurlardan hassas ve değerli bilgiler topluyor. 2018’den beri çoğunlukla aynı olan teknikleri kullanarak tespitten kaçmaya odaklanmak, DeathStalker’ın bir dizi başarılı saldırı gerçekleştirmeye devam etmesini sağladı.
Kaspersky Küresel Araştırma ve Analiz Ekibi Kıdemli Güvenlik Araştırmacısı Ariel Jungheit, “Bazı tehdit aktörleri zaman içinde tutarlı kalırken ve kurbanları kötü amaçlı ekleri indirmeye ikna etmek için COVID-19 gibi popüler konuları kullanmaya çalışırken, diğer gruplar kendilerini ve araç setlerini yeniden keşfediyor” diyor. “Saldırıya uğrayan platformların genişleyen kapsamı, yeni bulaşma zincirleri ve saldırı altyapılarının bir parçası olarak yasal hizmetlerin kullanımı, son çeyrekte tanık olduğumuz şeyler. Genel olarak bunun siber güvenlik uzmanları için anlamı şudur: Siber güvenlik uzmanlarının geçmişte daha az incelenen, yeni kötü niyetli faaliyetleri avlamak için kaynak ayırması gerekir. Bu, daha az bilinen programlama dillerinde yazılan ve yasal bulut hizmetleri aracılığıyla yazılan kötü amaçlı yazılımları içerir. Saldırganların faaliyetlerini ve TTP’leri izlemek, yeni teknikleri ve araçları uyarlarken onları takip etmemize ve böylece kendimizi yeni saldırılara zamanında tepki vermeye hazırlamamıza olanak tanıyor.”
