Selamlar,
Kaspersky, Kuzey Koreli Lazarus grubuna atfettiği FlashHole operasyonunu yayımladı. Operasyonun en dikkat çeken yanı: zararlı payload dağıtımını korumak için standartlaşmış post-kuantum bir şifreleme mekanizması olan ML-KEM kullanılması. BleepingComputer konuyu aktardı. Bu, saldırganların "şimdi çalarım, kuantum bilgisayarla sonra çözerim" (harvest now, decrypt later) tehdidine karşı kendi trafiklerini korumaya başlamasının canlı bir örneği. Burada enfeksiyon zincirini ve savunma noktalarını ele alıyorum.
Konuda anlatılacaklar
- FlashHole kimleri hedefledi?
- Enfeksiyon zinciri: GitHub sayfasından belleğe
- ML-KEM nedir, neden önemli?
- Şifreleme detayı: dört anahtar, GOST ve Threefish
- Kullanılan araçlar: LPEClient, ClientHub, Cubridge
- Tespit ve savunma notları
1. Hedefler
Kaspersky'ye göre saldırılar Temmuz 2025'te başladı ve Güney Kore'deki kurumları hedef aldı. En az üç şirket tespit edildi: yazılım, inşaat ve kablolu iletişim ekipmanı üreticisi. Araştırmacılar çok daha fazla kurumun etkilenmiş olabileceğini düşünüyor.
2. Enfeksiyon zinciri
- Oltalama sayfaları hedefleri özel hazırlanmış GitHub sayfalarına yönlendiriyor.
- Bu sayfalar dış alan adlarından JavaScript yüklüyor ve bellek içi bir yürütme zinciri tetikliyor.
- Zincir, Güney Kore'de yaygın bir güvenlik aracı olan INISAFE CrossWeb EX sürecini kullanıyor.
- Bu süreç, meşru Windows ikilisi fsquirt.exe'yi çalıştırıyor; o da shellcode çalıştırıp TechHub adlı bir indiriciyi kuruyor.
- TechHub, özel GitHub repolarından ek zararlı yazılım çekiyor.
3. ML-KEM nedir?
ML-KEM (Module-Lattice-based Key Encapsulation Mechanism), NIST'in onayladığı, birçok yazılımda yer alan bir post-kuantum anahtar kapsülleme standardıdır. Amaç, bugün yakalanan şifreli trafiğin gelecekte kuantum bilgisayarla çözülmesini engellemek. Lazarus'un bunu kullanması, grubun sonraki payload'ları gizleme niyetini gösteriyor.
4. Şifreleme detayı
Kaspersky'nin teknik analizine göre:
Kod:
1) LPEClient, C2'den dört adet 1.568 baytlık blok alıyor
(her biri bir ML-KEM-1024 açık anahtarı)
2) Bu bloklardan dört ayrı paylaşılan anahtar/şifremetni çifti üretiyor
3) Şifremetinlerini GOST algoritmasıyla şifreleyip ClientHub ile C2'ye yolluyor
4) Paylaşılan sırlar Threefish için anahtar malzemesi sağlar
5) Threefish, parametreleri ve çalıştırılabilir payload'u içeren yanıtı çözer
6) Nihai payload Cubridge'dir ve belleğe reflective olarak yüklenir5. Kullanılan araçlar
- LPEClient: mağduru profilleyen, şifreli payload alan ve izlemeden kaçan Lazarus'a özgü araç.
- ClientHub: Dropbox iletişimi ve LPEClient ile doğrudan veri değişimi destekleyen yükleyici.
- Cubridge: dosya yönetimi, komut çalıştırma, keşif, ekran görüntüsü ve ek payload yükleme yapabilen modüler arka kapı.
- Ayrıca Chromium tabanlı tarayıcılardan kimlik bilgisi, çerez ve geçmiş çalan ek araçlar.
6. Tespit ve savunma
- Bellek içi tehditlere odaklanın. İmza tabanlı AV tek başına yetersiz; EDR ile süreç davranışı ve reflective yükleme tespiti önemli.
- LOLBin kötüye kullanımı avlayın. fsquirt.exe gibi meşru ikililerin beklenmedik bağlamlarda çalışması güçlü bir göstergedir.
- GitHub'dan beklenmedik indirmeleri izleyin. Özel repolardan payload çekilmesi normal iş akışınızla kıyaslanmalı.
- Yetkisiz GOST/Threefish/ML-KEM trafiğini not edin. Alışılmadık kripto imzaları araştırılmalı.
- Tarayıcı kimlik hırsızlığına karşı çerez ve oturum sertleştirmesi uygulayın.
Sonuç
FlashHole, iki eğilimi aynı anda gösteriyor: ileri düzey bellek içi teknikler ve saldırgan tarafında post-kuantum şifreleme. Savunma tarafında cevap, imzadan çok davranışa bakmak. Siz bellek içi tehditleri hangi araçlarla avlıyorsunuz?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar