Güncellenmiş MATA araç setini kullanarak Doğu Avrupa sanayi şirketlerini hedef alan siber casusluk faaliyetlerinde önemli artışlar gözlemlendi.
Eylül 2022’nin başlarında, daha önce Lazarus grubuyla ilişkilendirilen MATA kümesiyle bağlantılı yeni kötü amaçlı yazılım örnekleri tespit edilmişti. Bir düzinenin üzerinde Doğu Avrupa şirketini hedef alan bu kampanya Ağustos 2022 ortasından Mayıs 2023’e kadar devam etti. Saldırganlar, CVE-2021-26411 istismarını kullanan spear-phishing e-postaları ve web tarayıcıları aracılığıyla Windows çalıştırılabilir kötü amaçlı yazılım indirmelerini kullanmıştı.
MATA bulaşma zinciri, yükleyici, ana Truva atı ve kimlik hırsızlarını istismarlar, rootkitler ve hassas doğrulama süreçleriyle entegre eden karmaşık bir yapıya sahipti. Komuta ve Kontrol (C&C) sunucuları olarak kullanılan dahili IP adresleri, saldırganların kurbanların altyapısına kendi kontrol ve sızma sistemlerini yerleştirdiğini gösteren önemli bir keşfe karşılık geliyordu.
Bir fabrikadaki kimlik avı e-postasıyla başlatılan saldırı, ağa sızarak ana şirketin etki alanı denetleyicisini tehlikeye attı. Saldırganlar daha sonra güvenlik sistemlerine müdahale etmek için güvenlik açıklarından ve rootkitlerden faydalanarak iş istasyonları ve sunucular üzerinde kontrol sahibi oldular.
Özellikle güvenlik çözümü panellerine erişerek, bilgi toplamak ve kötü amaçlı yazılımları yan kuruluşlara ve kurumsal etki alanı altyapısına bağlı olmayan sistemlere dağıtmak için güvenlik açıklarından ve zayıf yapılandırmalardan yararlandılar.
Diğer kayda değer bulgular arasında şunlar yer alıyor:
- Üç yeni MATA Kötü Amaçlı Yazılım Nesli – 3, 4 ve 5: Bunlar gelişmiş uzaktan kontrol yetenekleri, modüler mimari ve esnek proxy sunucu zincirleri ile birlikte çeşitli protokoller için destek sundu.
- Linux MATA Generation 3: Linux versiyonu, Windows muadili ile yeteneklerini paylaştı ve güvenlik çözümleri aracılığıyla sunuldu.
- USB Yayılma Modülü: Dış dünyayla bağlantısı olmayan ağlara sızmayı kolaylaştıran bu modül, özellikle hassas bilgiler içeren sistemlerde çıkarılabilir medya aracılığıyla veri aktarımı yapıyordu.
- Veri Hırsızları: Bunlar, ekran görüntüleri ve depolanan kimlik bilgileri gibi hassas bilgileri belirli koşullara göre özelleştirerek ele geçirmek için kullanıldı.
- EDR/Güvenlik Bypass Araçları: Saldırganlar, ayrıcalıklarını artırmak ve uç nokta güvenlik ürünlerini atlamak için genel istismarlardan yararlandı. Ayrıca, CVE-2021-40449 güvenlik açığı yamasının yüklü olduğu sistemlerde BYOD (Kendi Savunmasız Sürücünü Getir) tekniğini kullandı.
- En son MATA sürümleri, 5-eyes APT grupları tarafından kullanılanlara benzer teknikleri kullandı. Bu nedenle atıf sürecinde bazı sorular ortaya çıktı.
