Matanbuchus adlı zararlı yazılım yükleyicisinin yeni bir sürümünün, Microsoft Teams platformu üzerinden gerçekleştirilen sosyal mühendislik saldırılarıyla dağıtıldığı ortaya çıktı. Saldırganlar, IT destek birimi gibi davranarak kurbanları uzaktan erişim aracı çalıştırmaya ikna ediyor ve sonrasında zararlı yazılımı sistemlere yüklüyor.
Saldırganlar Microsoft Teams Aracılığıyla Erişim Sağlıyor
Siber güvenlik şirketi Morphisec’in analizine göre Matanbuchus’un 3.0 sürümünü kullanan saldırganlar, hedef şirketlerdeki çalışanlara dış kaynaklı Microsoft Teams aramaları yapıyor. Arayan kişi, IT destek personeli gibi davranarak kurbandan Windows’un yerleşik uzaktan yardım aracı olan Quick Assist’i başlatmasını istiyor.
Kurulan bağlantı üzerinden saldırgan, kurbana bir PowerShell betiği çalıştırmasını söylüyor. Bu betik, içinde üç dosya bulunan bir ZIP arşivini indiriyor. Ardından, DLL side-loading yöntemiyle Matanbuchus yükleyicisi sisteme yerleşiyor. Matanbuchus 3.0 sürümü, önceki versiyonlara göre daha gelişmiş kaçınma ve gizleme yetenekleriyle dikkat çekiyor. Komut ve kontrol (C2) iletişimi ile dizge gizlemesi artık RC4 yerine Salsa20 algoritmasıyla yapılıyor.
Zararlı yazılım, yüklenen bileşenleri sistem belleğinde çalıştırıyor. Ayrıca, sandbox ortamlarını tespit eden yeni bir kontrol mekanizması da eklenmiş durumda. Bu sayede yazılım yalnızca tanımlı bölgesel ayarlara sahip sistemlerde çalıştırılıyor.
Windows API işlevleri yerine özel shellcode üzerinden doğrudan sistem çağrıları (syscall) yapılması, geleneksel EDR çözümlerini atlatmak için kullanılıyor. Yazılım, API çağrılarını ise ‘MurmurHash3’ isimli karma fonksiyonuyla gizliyor. Bu da tersine mühendislik çalışmalarını ve statik analizleri zorlaştırıyor.
Sistem Bilgileri Toplanıyor ve Zararlı Yükler Bellekten Çalıştırılıyor
Zararlı yazılım, kurbanın kullanıcı adını, alan adı bilgilerini, işletim sistemi sürümünü, sistemde çalışan güvenlik yazılımlarını ve işlem haklarını (yönetici mi, normal kullanıcı mı) toplayabiliyor. Ardından komut satırı, PowerShell betikleri, EXE, DLL, MSI ve shellcode gibi farklı yükleri çalıştırabiliyor. Morphisec’in analizine göre, Matanbuchus’un komut çalıştırma yöntemleri, kurbanın sisteminde çalışan güvenlik araçlarına göre dinamik olarak belirleniyor.
Microsoft Teams, son yıllarda birçok saldırıda ilk erişim aracı olarak kullanıldı. 2023 yılında bir araştırmacı, dış kaynaklı hesaplardan zararlı yazılım gönderimini mümkün kılan yazılım açıklarını kullanarak özel bir araç geliştirmişti. Aynı yıl DarkGate zararlısı da Teams üzerinden hedef sistemlere yüklenmişti.
Şimdi ise Matanbuchus’un operatörleri, benzer yöntemlerle sistemlere sızıyor ve gelişmiş yükleyicileri aktif hâle getiriyor. Güvenliği gevşek yapılandırılmış Teams ortamlarında bu tür saldırılar daha sık görülüyor. Morphisec, yaptığı teknik analizle birlikte saldırıya ait bazı örnek dosyaları ve zararlı yazılıma ait alan adlarını da paylaştı. Şirket, Matanbuchus’un artık daha sofistike bir tehdit hâline geldiğini belirtti.
Güvenlik uzmanları, IT desteği gibi davranan kişilerden gelen dış kaynaklı Teams çağrılarına karşı dikkatli olunmasını ve bilinmeyen bağlantılar üzerinden betik çalıştırılmamasını öneriyor.
