Telemetrimize göre, bu araçları yayan saldırı 2016’dan bu yana canlı ve en son tespit edildikleri zaman Temmuz 2019’a kadar uzanıyor.

Saldırganlar, araçlarını kötü amaçlı bir dosyaya giden bağlantılar içeren kötü amaçlı e-postalar (“malspam”) yoluyla dağıtıyorlar.

Hem BalkanRAT hem de BalkanDoor dağıtımında kullanılan malspam e-postalarda yer alan bağlantılar resmi kurumların gerçek web sitelerini taklit ediyor.

Çoğu zaman, yürütülebilir bir dosyaya giden bağlantılar PDF dosyasına giden bağlantılar olarak gizlenir. Yürütülebilir dosya, adı ve simgesi kullanıcıyı kandırmak için bir PDF’ye benzeyecek şekilde değiştirilen bir WinRAR dosyasıdır. Yürütüldüğünde, içeriğinin paketini açacak, herhangi bir şüpheyi önlemek için yem PDF’yi açacak ve BalkanRAT veya BalkanDoor’u sessizce yürütecek şekilde yapılandırılmıştır.

2019’da tespit edilen BalkanDoor’un en son örneklerinden bazılarında, kötü amaçlı yazılım, WinRAR ACE güvenlik açığından (CVE-2018-20250) yararlanmak için özel olarak hazırlanmış bir RAR arşivi (bir yürütülebilir dosya değil) olarak dağıtılır. 28 Şubat 2019’da, yayımlanan 5.70 sürümünde giderilen bu güvenlik açığının, kötü amaçlı yazılım dağıtmak için sıklıkla kullanıldığı bilinmektedir.

BalkanDoor’un istismar tabanlı dağıtımı, kötü amaçlı yazılımın önceki sürümlerine göre daha sinsi, çünkü indirilen dosyanın yürütülmesini gerektirmediği için kurban tarafından daha az şüpheli görünür.

Saldırı

Telemetrimize göre, çoğu zaman, her iki alet de aynı makinede konuşlandırılmıştır. Araçların birleşimi, saldırganın hem komut satırı arabirimi hem de bulaştığı bilgisayara grafik arabirimi sağlar.

Tüm araç setinin makinede dağıtılması durumunda, saldırı için örnek bir senaryo aşağıdadır:

Saldırgan, kurbanın ekranının kilitlendiğini ve dolayısıyla büyük olasılıkla bilgisayarı kullanmadığını (BalkanDoor aracılığıyla bilgisayarın kilitli olduğunu gösteren ekran görüntüsü göndererek veya BalkanRAT’ın Yalnızca Görüntüleme modu  aracılığıyla) tespit eder. Saldırgan, BalkanDoor arka kapısından, ekran kilidini açmak için bir arka kapı komutu gönderir… ve BalkanRAT kullanarak, bilgisayarda ne isterlerse yapabilirler.

Bununla birlikte, kurban bilgisayarını kullanmasa bile, saldırganların gerçekleştirdiği eylemleri tespit etme şansı hâlâ vardır. Bu dezavantaja rağmen, yine de RDS aracını kullanmak yararlı olabilir. Saldırgan, arka kapıyla gönderilen komutlarla veya programlama becerileriyle sınırlı değildir; mevcut olan tek araç bir arka kapıyken çok fazla kod yazmayı gerektirecek eylemleri elle gerçekleştirebilirler.

Prensip olarak, Balkan araç seti diğer olası hedeflerle birlikte casusluk için de kullanılabilir. Fakat, hedefi, dağıtım şekli ve balkan araç seti analizlerimiz saldırganların sadece para peşinde olduğunu gösteriyor.

BalkanDoor arka kapısı, herhangi bir exfilitrasyon kanalı kullanmıyor. Eğer kampanya casusluk için tasarlansaydı, saldırganların toplanan verileri yüklemek için bir sızma kanalına ihtiyaçları olacaktır.

Aksine, saldırganların hedefinin mali suç işlemek olduğunu ortaya koyan BalkanRAT’ın SCardListReadersA / SCardConnectA API işlevlerini kullanarak mevcut akıllı kartları listeleyen bir araç bıraktığını gördük. Akıllı kartlar genellikle sahibinin kimliğini doğrulamak için bankalar veya hükümetler tarafından verilir. Akıllı kartlar yanlış ellerde yasadışı amaçlar için örneğin; dijital olarak bir sözleşmeyi imzalamak, bir para işlemini onaylamak vb. için kullanılabilir.

Geçmişte, bu özelliği Rus bankalarını hedef alan bir kampanya olan Buhtrap Operasyonunda gördük.

Analiz – BalkanDoor

BalkanDoor bazı komutlar (dosya indirme ve yürütme, uzak kabuk yaratma, ekran görüntüsü alma) yürüten basit bir arka kapıdır. Bu arka kapı, gizliliği ihlal edilmiş bilgisayardaki görevleri otomatikleştirmek ya da aynı anda çok sayıda virüslü bilgisayarı otomatik olarak kontrol etmek için kullanılabilir. 2016 yılından beri sürekli gelişen bu arka kapının farklı komutları destekleyen altı versiyonunu gördük.

Başlangıçtaki dropper tüm bileşenleri paketten çıkarır, sahte bir PDF açar (bazı durumlarda) ve arka kapının kalıcı olmasını sağlayan bir toplu yükleme komut dosyası yürütür.

Arka kapı yasal görünen bir hizmet adı altında (ör. WindowsSvc, WindowsPrnt, WindowsConn veya WindowsErr) kendisini kaydederken beraberindeki toplu komut dosyaları ise Registry Run Anahtarlarını ya da Başlat klasörünü kullanarak bunun kalıcı olmasını sağlayabilir.

Arka kapı yüklendikten sonra bilgisayar bir C&C sunucusuna bağlanır, kendisini bilgisayar adıyla tanımlar ve komutlar için talepte bulunur. Arka kapı sabit kodlu bir listeden herhangi bir C&C sunucusuna bağlanabilir. Bu, kalıcılığı artırmak için bir önlemdir. HTTP ya da HTTPS protokolü aracılığıyla bağlanır. HTTPS kullanılırsa sunucu sertifikaları göz ardı edilir.

Bağlantı başarılı olmazsa arka kapı, kurbanın bilgisayarındaki kullanıcı tarafından yapılandırılan vekil sunucuyu kullanabilir ve bağlantı girişimini tekrarlayabilir.

Arka kapı komutları, özelliklerinin komutları, komut bağımsız değişkenlerini ve hedeflenen alıcıları belirlediği INI dosyası formatında gelir. Alıcı listesini belirlemek, saldırganın gizliliği ihlal edilmiş çok sayıda bilgisayara komutlarını (ör. gizliliği ihlal edilmiş tüm bilgisayarların ekran görüntülerini otomatik olarak alma) aynı anda gönderebilmesini sağlar.

Analiz – BalkanRAT

Kötü amaçlı Balkan araç setinin parçası olan BalkanRAT, suç ortağı arka kapıyla kıyaslandığında daha karmaşıktır. Amacı, Rus satıcı Remote Utilities, LLC tarafından sunulan ve bir bilgisayara uzaktan erişmek ya da bilgisayarı uzaktan yönetmek için kullanılan Remote Utilities adlı ticari yazılımın bir kopyasını yerleştirmektir. BalkanRAT saldırgana bu uzaktan erişim için gerekli kimlik bilgilerini de sağlar.

BalkanRAT, RDS’nin yüklenmesine, kurulmasına ve varlığının gizlenmesine yardımcı olan çok sayıda ek bileşene sahiptir. Güvenlik duvarına istisnalar ekleyebilir, RDS’nin penceresini ve tepsi simgesini saklayabilir ve görev yöneticisinde ilgili süreçlerin varlığını gizleyebilir.

1.                   Dropper önce tüm bileşenleri (yapılandırma dosyası, uzak masaüstü yazılımı ve bunu kuran önemli bir bileşen, kullanıcı alanı rootkit’i, bir GUI gizleyici ve sahte PDF dosyası) paketten çıkarır.

2.                   Dropper kullanıcının şüphelenmemesi için PDF dosyasını açar.

3.                   Dropper gizli olarak ana bileşeni (32 bit) kurulum modunda çalıştırır.

4.                   Ana bileşen (32 bit) kendisini bilgisayar her çalıştırıldığında yürütülecek şekilde kurar ve RDS için güvenlik duvarına istisna ekler. Belirtilen yapılandırma dosyasında inst1 ve inst2 komutlarını yürütür ve kendisini tekrar ve artık gizli modda çalıştırır.

5.                   Ana bileşen bu modda tuş kaydedici olarak hareket eder.

6.                   Ana bileşen (32 bit) kendisinin 64 bitlik versiyonunu ekleme modunda yürütür (mümkünse).

7.                   Ana bileşen (64 bit), kullanıcı alanı rootkit’ini (64 bit) görev yöneticisi süreçlerine ekler. Daha sonra kullanıcı alanı rootkit’i, görev yöneticisinde kötü amaçlı süreçlerin varlığını gizler.

8.                   Ana bileşen (32 bit), RDS’yi yürütür. RDS penceresini tekrar tekrar izler ve gizler (çünkü bu bir GUI uygulamasıdır).

9.                   Ana bileşen (32 bit), kullanıcı alanı rootkit’ini (32 bit) görev yöneticisi süreçlerine ekler. Daha sonra kullanıcı alanı rootkit’i, görev yöneticisinde kötü amaçlı süreçlerin varlığını gizler.

10.               Ana bileşen (32 bit), yapılandırma dosyasında belirtildiği gibi cmd1 ve cmd2 komutlarını yürütür. Bu komutlardan birinin, RDS’nin tepsi simgesini gizleyen AutoHotKey komut dosyası olan bir GUI gizleyicisini yürüttüğü görülmüştür.

Not: Bazı bileşenler isteğe bağlıdır. Ayrıca şifrelenmiş bir yük ve ilgili yükleyiciden oluşan bir set olarak da yerleştirilirler. Bu ayrıntıları dahil etmiyoruz.

BalkanRAT’in yapılandırma dosyası, bir bölümün [CFG] olarak adlandırıldığı INI formatındadır (arka kapı komutları için bu formatı kullanan BalkanDoor ile aynı şekilde). INI dosyası kötü amaçlı yazılımın ana bileşeni ve kullanıcı alanı rootkit’i tarafından kullanılır.

BalkanRAT’in ana bileşeni çok amaçlı bir bileşendir (hem 32 bit hem de 64 bit’lik versiyonları vardır). Komut satırı bağımsız değişkeni tarafından belirlenen çeşitli modlarda yürütülebilir. En önemli özelliği, bir kullanıcı alanı rootkit’i başlatıp güvenlik duvarına RDS bileşeni için istisnalar ekleyerek BalkanRAT’in kurulumunu sağlamasıdır.

BalkanRAT gizli kalmak için GUI gizleyici özelliğini kullanır. Birçok örnekte (bazı eski örnekler istisnadır), AutoHotKey orada yüklü olmasa bile bilgisayarda çalışabilmesi için yürütülebilir bir dosyada derlenmiş, AutoHotKey komut dosyası olarak çalıştırılır. Bu komut dosyasının amacı, RDS istemcisinin tepsi simgesini gizlemektir.

Bunu başarmak için kullanıcı alanı rootkit’i kitaplıkları yapılandırma dosyasında sabit kodlanmış süreçlere eklenir. Kullanıcı alanı rootkit’i eklendiği sürecin NtQuerySystemInformation işlevini askıya alır. SystemProcessInformation işlevinin sorgulanması halinde, yapılandırma dosyasında belirtilen adları taşıyan tüm süreç girişlerini filtreler. Sonuç olarak, geleneksel görev yöneticisi, saldırganların kullanıcıdan gizlemek istedikleri süreçleri görüntülemez.

Doğal olarak, gizlenecek süreçlerin listesinde genellikle BalkanRAT’a ait olan süreçler yer alır. Bununla birlikte, listede BalkanDoor arka kapısına ait olan “weather.exe” ya da “preserve.exe” gibi isimleri de gördük. Bu bulgu, söz konusu iki aracın gerçekten de birlikte kullanıldığı inancını desteklemektedir.

Sonuç

Hem BalkanRAT’in hem de BalkanDoor’un bazı ilginç numaraları vardır ve bunların her biri, kurbanlar açısından önemli riskler teşkil eder. Bir araç seti olarak birlikte kullanıldıkları takdirde daha da güçlü bir silah haline gelirler. Kuruluşlar için çok önemli bir bölüm olan muhasebe bölümünü hedef aldığını keşfettiğimiz kampanyada ise bu tehlike daha da artabilir.

Balkan ülkelerindeki muhasebecileri hedef alan kampanya ile 2016 yılında rapor edilen, Ukraynalı noterleri hedef alan kampanya arasında bazı benzerlikler görülmektedir. (Bunu tanımlayan kaynak olarak bulduğumuz tek kaynak Rusçadır.) O durumda, saldırganların amacı bir noter bilgisayarının kontrolünü ele geçirmek ve noterin adına bazı yasa dışı işlemler yapmaktı.

Saldırganlar noterin adına sahte bir işlemi onay verebilecekleri için bir şirketin finans departmanında görev yapan bir yönetici taklidi yaparak sahte bir işlem gerçekleştirebilirler.

Güvende kalmak için iş kullanıcıları ve onların çalışanları şu temel siber güvenlik kurallarına uymalıdır: e-postalar konusunda dikkatli olma, e-postalardaki ekler ve bağlantıları dikkatli şekilde inceleme, yazılımlarını güncel tutma ve tanınmış bir güvenlik çözümü kullanma.