Lale Çorumlu

2021'in ikinci yarısında başlatıldığına inanılan devam eden bir casusluk kampanyasının parçası olarak Windows, Linux ve macOS işletim sistemleri çalıştıran makineleri hedef alan "SysJoker" adlı yeni bir çapraz platform arka kapısı gözlemlendi.

"Bir sistem güncellemesi olarak SysJoker maskeli ve Google Drive üzerinde barındırılan bir metin dosyasından alınan bir dize deşifre ederek [komuta ve kontrol sunucusu] üretir," Intezer araştırmacılar Avigayil Mechtinger Ryan Robinson ve Nicole Fishbein kaydetti teknik bir zarar yazılmasından içinde bulgularını yayınlamaya başladı. "Kurban bilimine ve kötü amaçlı yazılımın davranışına dayanarak, SysJoker'in belirli hedeflerin peşinde olduğunu değerlendiriyoruz."

Çalışmayı gelişmiş bir tehdit aktörüne bağlayan İsrailli siber güvenlik şirketi, implantın ilk kanıtını Aralık 2021'de adı açıklanmayan bir eğitim kurumuna ait Linux tabanlı bir web sunucusuna yönelik aktif bir saldırı sırasında keşfettiğini söyledi.

C++ tabanlı bir kötü amaçlı yazılım olan SysJoker, yürütüldüğünde, MAC adresi, kullanıcı adı, fiziksel ortam seri numarası ve IP adresi gibi güvenliği ihlal edilmiş ana bilgisayar hakkında bilgi toplamak üzere tasarlanmış uzak bir sunucudan bir damlalık dosyası aracılığıyla teslim edilir, kodlanır ve sunucuya geri iletilir.

Dahası, saldırgan tarafından kontrol edilen sunucuya bağlantılar, bir metin dosyasını ("domain.txt") barındıran sabit kodlanmış bir Google Drive bağlantısından alan adının URL'sinin çıkarılmasıyla kurulur ve sunucunun, makineye talimatları iletmesine olanak tanır. Kötü amaçlı yazılım, keyfi komutları ve yürütülebilir dosyaları çalıştırır ve ardından sonuçlar geri gönderilir.

Araştırmacılar, "Kodun sıfırdan yazılmış olması ve daha önce başka saldırılarda görülmemiş [ve] saldırgandan gönderilen ikinci bir aşamaya veya komuta tanık olmamış olmamız […] gelişmiş bir aktör" dedi.

Kaynak: https://thehackernews.com/2022/01/new-sysjoker-espionage-malware.html