Afganistan, Malezya ve Pakistan’da bulunan varlıklar, ShadowPad kötü amaçlı yazılımını dağıtmak için ilk erişim vektörü olarak yama uygulanmamış Microsoft Exchange Sunucularını hedefleyen bir saldırı kampanyasının hedef noktasındalar.
Etkinliği ilk olarak 2021 Ekim ayının ortalarında tespit eden Rus siber güvenlik firması Kaspersky, atfedilen daha önce bilinmeyen Çince konuşan bir tehdit aktörüne. Hedefler telekomünikasyon, imalat ve ulaştırma sektörlerindeki kuruluşları içerir.
“İlk saldırılar sırasında grup, ShadowPad kötü amaçlı yazılımını dağıtmak için bir MS Exchange güvenlik açığından yararlandı ve bina otomasyon sistemleri “Saldırgan, bu sistemlerin kontrolünü ele alarak, saldırıya uğrayan organizasyonun diğer, hatta daha hassas sistemlerine ulaşabilir.”
2015 yılında PlugX’in halefi olarak ortaya çıkan ShadowPad, yıllar içinde birçok Çinli casusluk aktörü tarafından kullanılmaya başlanan özel olarak satılan modüler bir kötü amaçlı yazılım platformudur.
Tasarımı, kullanıcıların işlevselliğini gizli veri toplamanın ötesine taşıyabilecek ek eklentileri uzaktan dağıtmalarına izin verirken, ShadowPad’i tehlikeli yapan şey, kötü amaçlı yazılıma dahil edilen adli tıp önleme ve analiz önleme tekniğidir.
Kaspersky, “Gözlemlenen aktörün saldırıları sırasında ShadowPad arka kapısı, meşru yazılım kisvesi altında saldırıya uğrayan bilgisayarlara indirildi” dedi. “Birçok durumda, saldıran grup MS Exchange’deki bilinen bir güvenlik açığından yararlandı ve komutları manuel olarak girerek kampanyalarının yüksek oranda hedeflenen yapısını belirtti.”
Kanıtlar, düşman tarafından oluşturulan izinsiz girişlerin Mart 2021’de, Exchange Sunucularındaki ProxyLogon güvenlik açıklarının kamuya açık hale geldiği sıralarda başladığını gösteriyor. Hedeflerden bazılarının, posta sunucusundaki sunucu tarafı istek sahteciliği (SSRF) güvenlik açığı olan CVE-2021-26855’ten yararlanılarak ihlal edildiği söyleniyor.
ShadowPad’i özgün bir Microsoft .NET Framework bileşeni olan “mscoree.dll” olarak dağıtmanın yanı sıra, saldırılar aynı zamanda THOR adlı bir PlugX varyantı olan Cobalt Strike ve uzaktan erişim için web kabuklarını da içeriyordu.
Harekatın nihai hedefleri bilinmemekle birlikte, saldırganların uzun vadeli istihbarat toplamakla ilgilendiklerine inanılıyor.
Kaspersky ICS CERT araştırmacısı Kirill Kruglov, “Bina otomasyon sistemleri, ileri düzey tehdit aktörleri için ender hedeflerdir” dedi. “Ancak, bu sistemler son derece gizli bilgi için değerli bir kaynak olabilir ve saldırganlara diğer, daha güvenli altyapı alanlarına bir arka kapı sağlayabilir.”