clickfix lures ile chainscript rat dağıtılıyor, polygon ile c2 altyapısı döndürülüyor

arkadaşlar, ciddi bir malware olayı var. threat actor’lar clickfix tarzı sahte güncelleme sayfalarını kullanarak chainscript adında yeni bir uzaktan erişim trojanı (RAT) dağıtıyorlar. bu şey ciddi ciddi kötü, hemen okuyun şunu.

ne olmuş yani?

blackpoint adversary pursuit group (apg) adlı araştırmacılar, clickfix’e benzer sahte güncelleme lures’larının chainscript adlı bilinmeyen bir RAT’ı dağıttığını tespit etmiş. bu malware’in çeşitli build isimleri var: componenttask33, updatedigital, hostshared, orchidviolet66 falan. hepsi de spotify, zoom workplace ve microsoft teams gibi görünüyor, ama aslında kötü niyetli.

spoiler: bu açık aktif olarak sömürülüyor ve saldırganlar polygon blockchain’i kullanarak C2 (command & control) altyapısını döndürüyor. yani bulması zor oluyor sunucuları.

chainscript nedir bu?

chainscript, clickfix’in evrimleşmiş versiyonu gibi düşün. clickfix biliyorsunuz, sahte windows hata mesajları göstererek kullanıcıları çalıştırılabilir dosya indirtmeye ikna eden kötü niyetli kampanya. chainscript ise daha sofistike:

• uzaktan erişim trojanı (RAT): saldırganlar sisteminize tam kontrol sağlıyor
• çoklu kimlik maskeleme: spotify, zoom, teams gibi yasal uygulamalar olarak gösterilip kurulum yapılıyor
• blockchain-tabanlı C2 rotasyonu: polygon blockchain kullanarak komut sunucusu adreslerini gizliyor
• build rotasyonu: her saldırıda farklı build isimleri kullanarak tespit edilmekten kaçınıyor

etkilenen sistemler

saldırı vektörü nasıl çalışıyor?

1. sosyal mühendislik: kullanıcılara spotify, zoom veya teams güncellemesi gerekiyor mesajı gönderiliyor
2. clickfix lure: sahte güncelleme sayfası açılıyor, “sisteminiz tehlikede” uyarısı gösteriliyor
3. indirme: kullanıcı “güncelle” butonuna basınca chainscript indiriliyor
4. kurulum: exe/dmg dosyası çalıştırılıyor, malware yükleniyor
5. C2 bağlantısı: polygon blockchain üzerinden komut sunucusuna bağlanıyor
6. tam kontrol: saldırganlar sisteme erişim kazlıyor

yapmanız gerekenler (acil):

1. kullanıcıları uyarın:

- spotify, zoom, teams güncellemelerini resmi sitelerden indirtin
- sahte hata mesajlarına tıklamayın
- bilinmeyen dosyaları çalıştırmayın

2. network’ü kontrol edin:

# polygon blockchain ile iletişim kuran trafiği izleyin
tcpdump -i any 'host polygon.com or host 127.0.0.1' -w chainscript.pcap

# suspicious process'leri arayın
Get-Process | Where-Object {$_.Name -like '*updatedigital*' -or $_.Name -like '*componenttask*'}

3. endpoint’leri tarayın:

# yedek almadan yapma bu işi!
# test ortamında dene önce

# windows'ta malware taraması
wmic logicaldisk get name | find /V "Name" | findstr /r "^[A-Z]" | for /f %%i in ('findstr /r "^[A-Z]"') do (
    echo Scanning %%i:\
    "%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Scan -ScanType 3 -File %%i:\
)

4. process’leri kontrol edin:

# suspicious executable'ları arayın
Get-ChildItem -Path "C:\Users\*\Downloads" -Include "*.exe" -Recurse

# recently modified files
Get-ChildItem -Path "C:\Users\*\AppData\Local\Temp" -Recurse -ErrorAction SilentlyContinue | 
    Where-Object {$_.LastWriteTime -gt (Get-Date).AddHours(-24)}

geçici çözümler (hemen yamalayamıyorsanız):

1. ağ seviyesinde:

• spotify.com, zoom.com, microsoft.com dışındaki güncellemeleri bloklayın
• polygon blockchain trafiğini firewall’da blokla
• exe/dmg indirmelerini hassas izle

2. endpoint seviyesinde:

• clickfix lure’larını mail gateway’de filtrele
• suspicious download’ları quarantine’e gönder
• browser’da javascript prompt’larını devre dışı bırak

3. kullanıcı eğitimi:

• phishing simülasyonu yapın
• güvenli indirme yöntemlerini anlatın
• şüpheli mesajları nasıl tanıyacaklarını öğret

önemli uyarılar:

dikkat: chainscript’in blockchain-tabanlı C2 altyapısı nedeniyle tespit etmek daha zor. klasik IOC’ler (IP, domain) değişiyor. davranış analizi daha etkili olabilir.

edit: apg’nin raporunda componenttask33 ve orchidviolet66 build’lerinin son 3 haftada yoğun kullanıldığı belirtilmiş. eğer bu build’lerden birini gördüyseniz hemen incident response başlatın.

spoiler: polygon kullanması saldırganların blockchain teknolojisini nasıl suistimal ettiğini gösteriyor. blockchain’in merkezsizliği saldırganlar için avantaj oluyor.

kaynaklar:

• The Hacker News - ClickFix Lures Deploy ChainScript RAT
• Blackpoint APG Raporu
• ClickFix Kampanyası Hakkında
• Polygon Blockchain Güvenliği
• RAT Malware Hakkında Detaylı Bilgi

Bu içerik yapay zeka tarafından oluşturulmuştur.