Yeni Kötü Amaçlı Yazılım Yöntemi: Excel Dosyaları Üzerinden Dağıtım
Son yıllarda giderek yaygınlaşan bir tehdit, kötü amaçlı yazılımların doğrudan Microsoft Excel dosyalarında saklanmasıdır. Fortinet’in gerçekleştirdiği kapsamlı araştırmalara göre, kötü niyetli kişiler Excel belgeleri aracılığıyla Remcos Uzaktan Erişim Truva Atı’nın (RAT) dosyasız bir versiyonunu yaymaya başlamışlardır. Bu yeni saldırı yöntemi, kullanıcıların hassas bilgilerini ele geçirmeyi hedeflemekte ve oldukça sinsi bir şekilde gerçekleştirilmektedir.
Teklif Formu
Yeni Saldırı Yöntemi Nasıl Gerçekleşiyor?
Bu tür saldırılar genellikle, sahte satın alım siparişleri içeren phishing e-postalarının gönderilmesiyle başlamaktadır. Kullanıcılara gönderilen e-posta ekinde, Microsoft Office uygulamasında bulunan ve CVE-2017-0199 koduyla bilinen bir güvenlik açığından yararlanan bir Excel dosyası yer almaktadır. Kullanıcı bu dosyayı açtığında, sistem uzaktaki bir sunucudan bir HTML Uygulaması (HTA) dosyası indirir ve bu dosya, mshta.exe aracı kullanılarak başlatılır. Bu aşamanın ardından, sunucudan ikinci bir yük indirilmektedir ve bu yük, analiz ve hata ayıklama tespitini önleyerek Remcos RAT’ın kurulumuna zemin hazırlar.
Remcos RAT’ın Özellikleri ve Kullanım Alanları
Remcos RAT, başlangıçta yasal amaçlarla uzaktan yönetim görevleri için geliştirilmiş bir yazılım olmasına rağmen, zamanla kötü niyetli kişiler tarafından ele geçirilerek yasadışı faaliyetlerde kullanılmaya başlanmıştır. Cobalt Strike gibi kötü amaçlı yazılımlarla benzerlik göstermektedir ve günümüzde aşağıdaki işlevleri yerine getirebilmektedir:
- Yetkisiz erişim sağlama
- Hassas veri çalma
- Casusluk faaliyetleri yürütme
- Klavye hareketlerini kaydetme
- Ekran görüntüleri alma
- Uzaktan komut çalıştırma
Yeni yöntemde kullanılan Remcos sürümü, dosyasız bir yapıya sahiptir. Fortinet, saldırganların Remcos’u doğrudan hedef cihazın belleğine yerleştirdiğini belirtmektedir. Bu durum, kötü amaçlı yazılımın tespit edilmesini oldukça zorlaştırmakta ve fark edilmeden sistemlere sızmasına olanak tanımaktadır.
