Siber suçlular, vergi sezonunun yoğunluğunu fırsata çevirerek Hindistan'daki mükellefleri hedef alan sofistike bir kampanya başlattı. Cyderes araştırmacıları, Hindistan Vergi Dairesi'ni taklit eden sahte e-postalar aracılığıyla iki farklı uzaktan erişim truva atı (RAT) bulaştıran çok aşamalı bir enfeksiyon zinciri keşfetti. Kampanya, meşru Windows ikili dosyalarını, DLL sideloading, bellek içi yürütme ve proses enjeksiyonu gibi teknikleri istismar ederek kalıcı erişim sağlıyor.
Sahte e-postalar, mükellefleri resmi görünümlü bir ITR (Income Tax Return) aracını indirmeye zorlayan acil ifadeler içeriyor. İndirilen dosya, aslında kötü amaçlı yazılımın ilk aşamasını barındıran bir yükleyici. Bu yükleyici, meşru bir Windows yürütülebilir dosyasını (örneğin, AutoIt veya PowerShell) kullanarak DLL sideloading yoluyla ikinci aşama yükü çalıştırıyor. Bu yöntem, güvenlik yazılımlarını atlatmak için yaygın olarak kullanılıyor.
Enfeksiyon zinciri, ilk olarak bir indirici (downloader) çalıştırıyor. Bu indirici, bellek içinde şifrelenmiş bir yükü çözüyor ve doğrudan bellekte yürütüyor. Ardından, sistemde kalıcılık sağlamak için kayıt defteri anahtarlarına veya zamanlanmış görevlere yazıyor. Bu aşamada, iki farklı RAT devreye giriyor: biri AsyncRAT, diğeri ise daha az bilinen bir RAT olan LimeRAT. Her iki RAT da tuş kaydı, ekran görüntüsü alma, dosya indirme/yükleme ve uzaktan komut çalıştırma gibi yeteneklere sahip.
Gelecekte Ne Bekleniyor?
Cyderes analistleri, kampanyanın özellikle vergi sezonunun son haftalarında yoğunlaştığını belirtiyor. Mükelleflerin vergi beyannamelerini son güne bırakması ve resmi görünümlü e-postalara güvenme eğilimi, saldırganların işini kolaylaştırıyor. Kampanya, Hindistan'ın yanı sıra diğer ülkelerde de benzer taktiklerle kullanılabilecek bir altyapıya sahip. Araştırmacılar, saldırganların bu kampanyayı diğer vergi dönemlerinde de uyarlayabileceği uyarısında bulunuyor.
Önemli Gelişmeler
Bu tür saldırılardan korunmak için kullanıcıların e-posta eklerini ve bağlantılarını dikkatlice incelemesi, resmi vergi dairesi web sitesini doğrudan adres çubuğundan ziyaret etmesi ve güvenlik yazılımlarını güncel tutması önemli. Ayrıca, beklenmedik e-postalarla gelen dosyaları indirmekten kaçınmak ve iki faktörlü kimlik doğrulama kullanmak da etkili önlemler arasında. Kurumsal kullanıcılar için ise ağ segmentasyonu, uç nokta koruma ve davranışsal analiz araçları kritik rol oynuyor.
Detaylar ve Etkileri
Sonuç olarak, siber suçluların vergi sezonu gibi yoğun dönemleri hedef alması yeni bir durum değil, ancak bu kampanyada kullanılan çift RAT ve çok aşamalı teknikler, saldırganların ne kadar sofistike hale geldiğini gösteriyor. Kullanıcıların ve kurumların, bu tür tehditlere karşı hazırlıklı olması, düzenli güvenlik farkındalığı eğitimleri alması ve güncel tehdit istihbaratını takip etmesi hayati önem taşıyor.
Kaynak: csoonline.com
