Temmuz 2022’de NASA , James Webb teleskopu tarafından yakalanan ilk görüntüleri yayınladı . Bunların arasında, SMACS 0723 adlı gökada kümesinin çarpıcı bir görüntüsü vardı. O zamanlar NASA, onu evrenin en derin kızılötesi görüntüsü olarak adlandırırken, anıtsal resimde görünen binlerce gökada, şimdiye kadar gözlemlenen en soluk nesneler olarak lanse ediliyordu. elektromanyetik spektrumun kızılötesi bölgesi. Bununla birlikte, aynı görüntü şimdi bilgisayar korsanları tarafından kötü amaçlı yazılımları tohumlamak ve uzak bir sunucudan her türlü tahribata yol açmak için silahlandırılıyor.
Güvenlik firması Securonix’tekiler , Webb teleskobunun ünlü tıkla ve tohum kötü amaçlı yazılımını kullanan GO#WEBBFUSCATOR adlı bir kötü amaçlı yazılım tohumlama kampanyasını ayrıntılı olarak açıkladılar. Golang programlama dilini kullanmanın en büyük avantajı, yerel olarak platformlar arası uyumlu olmasıdır; bu, aynı kod tabanının Linux, macOS ve Windows ( Cyware aracılığıyla ) gibi farklı hedef platformlarda dağıtılabileceği anlamına gelir. Golang’ın kötü niyetli amaçlar için kötüye kullanılmasının en son örneğinde , kötü aktörler, neredeyse algılanamayan ve kötü niyetli komut dosyalarını gizlemek için kozmosun ünlü Webb görüntüsünü içeren bir kötü amaçlı yazılım yükü teslim ediyor.
Karmaşık zinciri başlatmak için, bilgisayar korsanları önce gelen kutusuna (en azından Securonix’in durumunda) Geos-Rates.docx etiketli kötü amaçlı bir Office eki içeren sahte bir e-posta gönderir. Belgenin meta verileri, bir dosya indirmeyi tetikleyebilecek meta verileri gerçekten gizler (veya kampanya adının geldiği yer olan karartır). Güvenlik araştırmacıları blog yazılarında, indirme URL’sinin hedefinin meşru bir Microsoft web bağlantısı olarak gösterilmeye çalışıldığını açıkladı.
Sinsi ama zarar verici bir saldırı
Belge açıldığında, otomatik indirme komut dosyası kötü amaçlı kodu kaydeder. Kod daha sonra amaçlanan işi gerçekleştirmek için kendini otomatik olarak yürütür. Ardından, sisteme enjekte edilen kod, Webb teleskobu tarafından yakalanan anlık görüntüye benzeyen bir jpg görüntü dosyası indirir. Bununla birlikte, bir metin düzenleyici kullanarak görüntünün analizi, aslında, kendisini meşru bir sertifika olarak göstererek şüpheden kaçınmaya çalışan bir Base64 kodunu gizlediğini ortaya koymaktadır. Bu aslında çalıştırılmaya ve hasar vermeye hazır 64 bitlik bir komut dosyasına dönüşen yüktür.
Securonix, buradaki tehdit seviyesini gerçekten yükselten şeyin, kötü niyetli Base64 kodunun “tüm antivirüs” sistemlerini sistem düzeyinde herhangi bir tehdit alarmı çalmadan geçmesi gerçeği olduğunu söylüyor. Yürütülebilir yükün algılamadan kaçması için birden çok kodlama ve gizleme katmanı kullanılır. Yük yürütülür yürütülmez, hedef sistemi uzak bir sunucuya bağlayarak bilgisayarı bir bilgisayar korsanının insafına bırakır. Bir bağlantı kurulduğunda, bilgisayar korsanına şifrelenmiş veri paketleri gönderilir.
Securonix, “Bu uygulama, komuta ve kontrol için şifreli bir kanal oluşturmak veya hassas verileri sızdırmak için kullanılabilir.” Ayrıca, kötü amaçlı yazılım Windows kayıt defteri Çalıştır anahtarını kandırır ve kalıcı hale gelir; bu, yeniden başlatmanın kötü amaçlı kodu dışarı atmayacağı anlamına gelir. Bu aşamada, fidye çıkarmak için uzaktan sistemi ele geçirmekten veri çalmaya ve casusluğa kadar çeşitli rahatsızlıkları gerçekleştirmek kötü aktörün beceri ve niyetlerine bağlıdır.