OneClik Saldırıları, Microsoft ClickOnce ve AWS Üzerinden Gizli Erişim Sağlıyor
Siber güvenlik uzmanları, enerji ve petrol sektörünü hedef alan karmaşık bir saldırı kampanyasını ortaya çıkardı. “OneClik” adı verilen bu saldırılar, Microsoft’un ClickOnce dağıtım aracı ile AWS hizmetlerini kullanarak sistemlere izinsiz erişim sağlıyor.
ClickOnce Aracı Kötü Amaçlı Yazılım Dağıtımı için Kullanılıyor
Microsoft’un ClickOnce teknolojisi, genellikle Windows uygulamalarının kullanıcı müdahalesi olmadan güncellenmesini sağlıyor. Ancak saldırganlar, bu özelliği kötüye kullanarak zararlı yükleri sistemlere bulaştırmayı başardı. Trellix isimli güvenlik firması tarafından analiz edilen kampanya, OneClikNet adını taşıyan .NET tabanlı bir yükleyici aracılığıyla çalışıyor.
Saldırılar, kullanıcıları sahte bir donanım analiz sitesine yönlendiren oltalama e-postalarıyla başlıyor. Bu site, ClickOnce aracılığıyla sistemlere zararlı yazılım taşıyan .APPLICATION uzantılı dosyalar sunuyor. Bu yöntem, Windows kullanıcı hesabı kontrolünü tetiklemeden zararlı yazılımların çalışmasına olanak tanıyor.
Saldırganlar, komut ve kontrol trafiğini gizlemek için Amazon’un meşru genel bulut hizmetlerinden yararlanıyor. ClickOnce üzerinden çalışan zararlı yazılım, dfsvc.exe adlı sistem bileşeni altında başlatılıyor. Bu işlem, saldırının sistemdeki yasal aktiviteler arasında kamufle olmasını sağlıyor.
OneClik’in v1a ve v1d sürümleri, AWS Cloudfront, API Gateway ve Lambda gibi hizmetleri kullanarak haberleşme sağlıyor. Bu durum, trafiğin zararsız genel bulut verisi gibi görünmesine neden oluyor. Uzmanlara göre bu teknik, savunmayı zorlaştırıyor çünkü bu hizmetlerin kara listeye alınması pratik değil.
Saldırı zincirinin son aşamasında “RunnerBeacon” adlı Golang tabanlı bir arka kapı devreye giriyor. RC4 şifreleme algoritmasıyla veri akışını gizleyen bu yazılım, farklı mesaj türleriyle sistem üzerinde komut çalıştırıyor, dosya işlemleri yapıyor ve ağ bağlantılarını yönlendiriyor. Ayrıca SOCKS5 tüneli oluşturarak veri trafiğini yönlendirme yeteneği de bulunuyor.
Trellix, bu arka kapının Geacon ailesine ait bilinen arka kapılarla yapısal benzerlik gösterdiğini belirtti. Bu da RunnerBeacon’un Geacon’dan türetilmiş olabileceği ihtimalini gündeme getiriyor.
Araştırmacılar, saldırı yöntemleri açısından Çin merkezli bazı tehdit gruplarıyla benzerlikler tespit etti. .NET AppDomainManager enjeksiyonu ve şifrelenmiş yük dağıtımı gibi teknikler, daha önce Çin bağlantılı saldırılarda da kullanılmıştı. Ayrıca bu grupların Alibaba ve Amazon gibi genel bulut hizmetlerini tercih ettiği biliniyor. Ancak Trellix, şu aşamada doğrudan bir grup ismi vermekten kaçınıyor. Tespit edilen kampanyaya dair ayrıntılı göstergeler, oltalama bağlantılarından zararlı yürütülebilir dosyalara kadar tüm bileşenleri kapsayan bir listeyle raporda paylaşıldı.
