Peki kullanıcılar tam olarak nasıl tehlikeye giriyor?

Amaçlanan MP4 dosyasını doğrudan açmak, herhangi bir kötü amaçlı eylemle sonuçlanmaz. Buradaki önemli nokta, MP4 dosyasının genellikle farklı bir dizinde gizlenmiş olması ve kullanıcıların ilk önce onu taklit eden kötü amaçlı LNK dosyasıyla karşılaşmasıdır. LNK dosyasının uzantısının normalde Windows Gezgini'nde görünmemesinin, kullanıcıların yemi yutma ihtimalini arttırdığı da bir gerçek. Şekil 1'deki ikinci ekran görüntüsünde, dosya adı Korece olan örneği görebilirsiniz 

Aldatıcı LNK dosyasına tıklanması kötü amaçlı yazılım çalıştırılır. Ancak, bu dosya aynı zamanda amaçlanan dosyayı da açarak (bu durumda bir video), kurbanlara bir şeylerin yanlış gittiğinden şüphelenmeleri için çok az neden bırakır.

Zararlı EXE dosyasının uzantısını PMA olarak değiştirmek de potansiyel kurbanların şüphelenme ihtimalini de azaltır. Oyunlarla uyumlu dosya adı ve uzantılarıyla adlandırılmış torrenlerle, oyunları yem olarak kullanarak bu tekniğin uygulandığını da görmüştük

Araştırmamız sırasında, çalıştırılabilir zararlı yazılımlar tarafından şu dosya ve uzantı adlarının kullanıldığını gördük: starcodec.pma, WedCodec.pma ve Codec.pma (film/dizi kılığında) ve leak.dll (oyun kılığında). “Starcodec” adı, yasal Kore codec paketi Starcodec'i taklit eder.

Beceriler

GoBotKR, kaynak kodu Mart 2017'den beri halka açık olan GoBot2 adlı bir arka kapı üzerine yapılandırılmıştır. Hem orijinal hem de değiştirilmiş sürüm Go olarak da bilinen GoLang dilinde yazılmıştır. Zararlı yazılımlar için hâlâ nispeten nadir olsa da, derlenmiş yürütülebilir dosyalarının hantal olması analistlere zorluk çıkardığı için GoLang kötü amaçlı yazılımlarının yeni varyantları ortaya çıkıyor.   

GoBotKR'nin işlevselliği, yayınlanan GoBot2 kaynak koduyla büyük ölçüde örtüşüyor, sadece çok küçük değişiklikleri mevcut. Aslında bu zararlı yazılım, teknik olarak pek karmaşık değildir ve uygulanması da oldukça basittir. Çoğu özellikler GoLang kütüphanelerinin kullanılmasıyla ve Windows komutlarının çalıştırılmasıyla (cmd, ipconfig, netsh, shutdown, start, systeminfo, taskkill, ver, whoami, ve wmic gibi) ve BitTorrent ve uTorrent istemcileri gibi üçüncü taraf yardımcı programları çalışırarak uygulanır 

Toplanan Bilgiler

Sonuç olarak, GoBotKR'nin arkasındaki kişiler, daha sonra çeşitli türlerde (örn. SYN Flood, UDP Flood veya Slowloris) DDoS saldırıları gerçekleştirmek için kullanılabilecek bir bot ağı kuruyor. Bu nedenle, yürütüldükten sonra GoBotKR, ağ yapılandırması, işletim sistemi sürüm bilgileri, CPU ve GPU sürümleri de dahil olmak üzere, bulaştığı bilgisayarın sistem bilgilerini toplar. Özellikle, yüklü antivirüs yazılımlarının bir listesini toplar.

Bu bilgiler bir C&C sunucusuna gönderilir, bu da saldırganların ilgili saldırılarda hangi botların kullanılması gerektiğini belirlemesine yardımcı olur. Analiz edilen kötü amaçlı yazılım örneklerinden çıkardığımız sonuca göre tüm C&C sunucuları Güney Kore'de bulunuyor ve hepsi aynı kişi adına kayıtlı.

Bot komutları

C&C sunucusu ile iletişim kurulduktan sonra, sunucu saldırılan bilgisayara arka kapı komutları ile talimat verir. GoBotKR, çoğunlukla üç ana amaca hizmet eden oldukça standart botnet işlevlerini destekler:

·         saldırılan bilgisayarın kötüye kullanılabilir hâle getirilmesi

·         botnet operatörlerinin, botnet'i kontrol etmesine veya daha fazla uzatmasına izin verir

·         tespitten kaçma veya kullanıcıdan saklanma

Desteklenen komutlar şunlardır:

·         Belirtilen bir kurban üzerinde bir DDoS saldırısı yürütmek

·         bir URL'ye erişim

·         bir dosya, bir komut, bir komut dosyası çalıştırmak

·         kendini güncellemek, sonlandırmak veya kaldırmak

·         Bilgisayarı kapatmak/yeniden başlatmak/bilgisayarda oturumu kapatmak

·         IE ana sayfasını değiştirmek

·         masaüstü arka planını değiştirmek

·         torrentler seed etmek

·         kendisini bağlı bir çıkarılabilir medyaya kopyalamak ve AuroRun işlevini düzenlemek

·         kendisini bulut depolama hizmetlerinin ortak klasörlerine kopyalamak (Dropbox, OneDrive, Google Drive)

·         ters proxy sunucusu çalıştırmak

·         bir HTTP sunucusu çalıştırmak

·         güvenlik duvarı ayarlarını değiştirmek, hosts dosyasını düzenlemek, bir bağlantı noktası açmak

·         Görev Yöneticisi'ni etkinleştirmek/devre dışı bırakmak

·         Windows kayıt defteri düzenleyicilerini etkinleştirmek/devre dışı bırakmak

·         Komut İstemi'ni etkinleştirmek/devre dışı bırakmak

·         bi işlemin çalışmasını kesmek

·         bir işlem penceresini gizlemek

Özellikle odaklandığı iki komut vardır - torrentler seed etmek ve DDoS becerileri

“Torrent seed etme” komutu saldırganların, sistemde önceden yüklü olmasa bile, BitTorrent ve uTorrent programlarını kullanarak keyfi dosyaları seed etmek için mağdur edilen makineleri kötüye kullanmalarına izin verir. Bu, kötü amaçlı yazılımları daha fazla dağıtmak için bir mekanizma olarak kullanılabilir.

“DDoS saldırısı gerçekleştirme” komutu, saldırganların web siteleri gibi hedeflenen hizmetlerin kullanılabilirliğini engellemek için kurbanın ağ bant genişliğini kötüye kullanmasına olanak tanır. Analizimize göre, bu büyük olasılıkla GoBotKR botnet'in temel amacı.

Tespitten kaçınma teknikleri

Bu bölümde GoBotKR arka kapısının kullandığı kaçınma tekniklerini araştırıyoruz. Halka açık kaynak kodunda birçok teknik mevcut olsa da, GoBotKR yazarları Güney Kore'ye özgü özelliklerle bunları daha da genişletti. Bundan, saldırganların, belirli bir kitleye yönelik zararlı yazılımları özelleştirdiğini ve saldırıda fark edilmemek için fazladan çaba gösterdiğini anlıyoruz.

GoBot2'den alınan teknikler

GoBotKR tarafından kullanılan aşağıdaki tespitten kaçınma ve anti-analiz teknikleri GoBot2 kaynak kodundan benimsenmiştir:

·         Kötü amaçlı yazılım, sisteme iki örneğini yükler. İkinci örnek (watchdog), ilk örneğin hâlâ etkin olup olmadığını izler ve sistemden kaldırılmışsa yeniden yükler.

·         Zararlı yazılım, antivirüs baypas tekniklerini kullanır (büyük bellek parçalarını ayırır ve antivirüs motorlarının kaynak kısıtlamaları nedeniyle kodu taklit etmesini önlemek için zararlı iş yükünün yürütülmesini geciktirir).

·         Zararlı yazılım, hata ayıklayıcıları gibi seçili güvenlik ve analitik araçları algılayabilir. Tespit edilirse, kendini sonlandırır.

·         Mağdurun IP bilgileri kara listeye alınmış birkaç kuruluştan (örn. Amazon, BitDefender, Cisco, ESET) birini önerirse zararlı yazılım kendisini sonlandırır. IP bilgilerini sorgulamak için harici yasal web sitelerini kullanır ve API işlevlerini kullanmak yerine bu bilgilerdeki kodlanmış dizeleri arar (örn. “bulut”, “Cisco”, “Microsoft”).

·         Dosya adı onaltılık sayı sisteminde 32 karakterden oluşuyorsa kötü amaçlı yazılım kendisini sonlandırır ve bu da iş yükünün bazı otomatik sanal alanlarda yürütülmesini engeller.

GoBotKR'de Güney Kore'ye özgü değişiklikler

GoBotKR yazarları, Güney Kore odaklı üç yeni kaçınma tekniği ekledi:

1)      Önceki bölümde açıklandığı gibi, zararlı yazılım, kara listeye alınan kuruluşlardan birinde çalışıp çalışmadığını anlamak için bulaştığı bilgisayarın IP bilgilerini kullanır. GoBot2'de, kurbanın IP adresi Amazon Web Services 'a veya dnsDynamic'e erişip yanıtın incelenmesiyle belirlenir.

Analiz ettiğimiz GoBotKR örneklerinde, bu URL'ler Güney Koreli çevrimiçi platformlar Naver ve Daum ile değiştirilir.

2)      GoBotKR, seçilen antivirüs ürünlerini (Tablo 1'de listelenen) algılamak için bulaştığı sistemde çalışan işlemleri tarayan yeni bir tespitten kaçınma tekniğine sahiptir. Ürünlerden herhangi biri algılanırsa, kötü amaçlı yazılım kendisini sonlandırır ve etkinliğinin bazı izlerini ana bilgisayardan kaldırır. Tespit edilen süreçlerin listesi, Güney Koreli bir güvenlik şirketi olan AhnLab'ın ürünlerini içerir.

AhnLab referanslarına ek olarak, 2) ve 3) numaralı noktalarda açıklanan savunma teknikleri, kötü amaçlı yazılımlardan elde ettiğimiz meta verilere göre, kaynak koduna AhnLab.go adlı bir dosya olarak eklenmiştir.

Zaman çizelgesi

Kötü amaçlı yazılım torrent yoluyla yayıldığından, örneklerin birçoğu bozuk veya eksiktir. Ancak C&C sunucularını ve dahili sürüm bilgilerini kurtarabilmeyi başardık.

Zararlı yazılım ilk görüldüğünden beri, 2.0, 2.3, 2.4 ve 2.5 dahili sürümlerine sahip örnekler tespit ettik. Bu sürümlerin her biri bazı küçük teknik iyileştirmeler veya uygulama farklılıkları ile birlikte gelir. Sürüm oluşturma, “ArchDuke” iç isminin kullanıldığı GoBot2 kaynak kodunda kullanılandan farklıdır.

Tablo 2, ESET sistemleri tarafından Mayıs 2018'den yazım zamanına kadar algılanan GoBotKR sürümlerini listeler. PE zaman damgaları örneklerden temizlendiği için zaman çizelgesi zararlı yazılımın dahili sürüm oluşturma ve algılama tarihlerini sunar.