Daha önce hiç görülmemiş, platformlar arası SysJoker, "gelişmiş bir tehdit aktöründen" geldi.
Araştırmacılar, neredeyse tüm kötü amaçlı yazılım tarama motorları
tarafından algılanmayan Windows, macOS veya Linux çalıştıran sistemler
için sıfırdan yazılmış, daha önce hiç görülmemiş bir arka kapı
keşfettiler.
Güvenlik firması Intezer'den araştırmacılar, "önde gelen bir eğitim
kurumu"nun Linux tabanlı Web sunucusunda arka kapıya verdikleri ad olan
SysJoker'i keşfettiklerini söyledi. Araştırmacılar araştırdıkça hem
Windows hem de macOS için SysJoker sürümlerini buldular.
Platformlar
arası kötü amaçlı yazılımın geçen yılın ikinci yarısında serbest
bırakıldığından şüpheleniyorlar.
Keşif birkaç nedenden dolayı önemlidir. İlk olarak, tam platformlar
arası kötü amaçlı yazılım, çoğu kötü amaçlı yazılımın belirli bir
işletim sistemi için yazıldığı nadir bir şeydir. Arka kapı da sıfırdan
yazılmıştır ve dört ayrı komuta ve kontrol sunucusundan
yararlanılmıştır; bu, onu geliştiren ve kullanan kişilerin önemli
kaynaklara yatırım yapan gelişmiş bir tehdit aktörünün parçası olduğunun
bir göstergesidir. Ayrıca, daha önce görülmemiş Linux kötü amaçlı
yazılımlarının gerçek dünyadaki bir saldırıda bulunması olağandışıdır.
Windows sürümünün (Intezer tarafından) ve Mac sürümünün (araştırmacı
Patrick Wardle tarafından) analizleri, SysJoker'in gelişmiş arka kapı
yetenekleri sağladığını buldu. Hem Windows hem de macOS sürümleri için
yürütülebilir dosyalar .ts son ekine sahipti. Intezer, dosyanın npm
JavaScript deposuna gizlice girdikten sonra yayılan bir tür komut
dosyası uygulaması olarak maskelenmiş bir göstergesi olabileceğini
söyledi. Intezer, SysJoker'in bir sistem güncellemesi gibi göründüğünü
söylemeye devam etti.
Bu arada Wardle, .ts uzantısının dosyanın video aktarım akışı içeriği
olarak gizlendiğini gösterebileceğini söyledi. Ayrıca macOS dosyasının
geçici bir imzayla da olsa dijital olarak imzalandığını buldu.
SysJoker, C++ ile yazılmıştır ve Salı günü itibariyle, Linux ve macOS
sürümleri VirusTotal kötü amaçlı yazılım arama motorunda tamamen
algılanmamıştır. Arka kapı, Google Drive'da barındırılan bir metin
dosyasından alınan bir dizenin kodunu çözerek kontrol sunucusu etki
alanını oluşturur. Araştırmacıların analiz ettiği süre boyunca, sunucu
üç kez değişti, bu da saldırganın aktif olduğunu ve virüslü makineleri
izlediğini gösteriyordu.
Hedeflenen kuruluşlara ve kötü amaçlı yazılımın davranışına dayalı
olarak, Intezer'in değerlendirmesi, SysJoker'in belirli hedeflerin
peşinde olduğu ve büyük olasılıkla "yanal hareketle birlikte casusluk ve
sonraki aşamalardan biri olarak fidye yazılımı saldırısına yol
açabilecek" hedefiyle olduğu yönünde.
Kaynak:https://arstechnica.com/information-technology/2022/01/backdoor-for-windows-macos-and-linux-went-undetected-until-now/
