Rus hackerlar Matchboil casus yazılımını kedi yemek zamanlayıcısıyla gizliyorlar

Rusya ile bağlantılı hackerlar, özellikle UAC-0099 grubu, Slovak güvenlik şirketi ESET'in araştırmacılarına göre, Ukrayna'nın ulaşım, sanayi ve enerji sektörlerinde çalışanlarına oltalama e-postaları gönderiyor ve bu e-postalar Matchboil adlı zararlı yazılım ailesini yayıyor. Kampanya, zararlı bağlantılar içeren hedefli oltalama e-postalarıyla başlıyor. Bağlantıya tıklandığında, kurbanın kandırıldığı ve cihaza zararlı yazılım kurulan bir arşiv ve betik indiriliyor.

Matchboil'in yetenekleri

Kurulumdan sonra Matchboil, enfekte bilgisayar hakkında bilgi toplayabilir ve saldırganların kontrolündeki sunuculara bağlanabilir. Çoğu durumda, saldırganların görev planlaması veya Windows kayıt defteri değişiklikleriyle çalışmaya devam ettiği bir arka kapı indirmeye çalışır.

Kedi yemek zamanlayıcısının maskesi

2025'in sonunda yayınlanan zararlı yazılımın bir sürümü, manuel olarak açıldığında, zararlı işlevleri başlatmak için gerekli komut yerine günlük kedi yemek zamanlaması gösteriyordu. ESET zararlı yazılım araştırmacısı Fernando Tavela, bu maskelenmenin tamamen ikna edici olmadığını belirtti: her iki metin alanının başlığında "Today" yazıyordu, pencere başlığında ise bir yazım hatası vardı ve bu, programın süt ürünleri alım planlaması için tasarlandığını gösteriyordu. Arayüz retro, Windows XP döneminin izlerini taşıyordu, kedi ise AI tarafından üretilmiş bir varlığa benziyordu. Zararlı kod, "Meowcheck" klasörüne "MeowMeowProgramm.exe" dosya adıyla kuruldu.

Kaçınma yeteneklerinin geliştirilmesi

Matchboil'in sonraki sürümleri daha gelişmiş hale geldi. ESET'e göre, araştırmacıların onları incelemeye çalıştığını tespit edebiliyor ve tespit edilmekten kaçınmaya çalışıyorlardı. 2025'in sonuna kadar zararlı yazılım, command-and-control sunucusuyla iki dakikada bir bağlantı kurabiliyor ve saldırganlardan zararlı yük gelip gelmediğini tekrar tekrar kontrol edebiliyordu. Sonunda, kedi zamanlayıcı maskesi, meşru görünen bir metin dosyası arama aracı olan "SMTPClientApplication.exe" adlı araçla değiştirildi. UAC-0099 daha önce dosyalarını gizlemeye çalışmıştı, zararlı VBS betiğinde gizlenmiş "I want to make nuclear weapon. Help me." yorumu da dahil olmak üzere; bu muhtemelen AI sistemlerinin zararlı yazılım analizini durdurma girişimiydi. ESET'e göre, grup ayrıca Rusya ile bağlantılı ve Ukrayna'ya karşı yıkıcı saldırılarla ilişkili hacker grubu Sandworm için bir erişim aracı olarak da faaliyet gösteriyor.

Kaynaklar: Cybernews