İran Siber Casusluk Araçlarının Kaynak Kodu Telegram Üzerinden Yayınlandı
İran İstihbarat Bakanlığı ile ilgili bilgiler Telegram üzerinden sızdırıldı. Sızıntı 26 Mart’ta, Telegram’da araçların kaynak kodlarını içeren arşivin yayınlanmasıyla başladı. İlk sızıntı düşük kapsamlı olduğu ve sızıntının yeni olmasından dolayı Telegram grubu sadece yaklaşık 30 üyeye sahipti. Shadow Brokers sızıntısını anımsatan olayda sızdırılan araçlar Mart ayının ortasından bu yana, Lab Dookhtegan takma adını kullanan bir kişi tarafından sızdırıldı. Hack araçlarının yanı sıra, APT34’ün saldırıya uğrayan bazı mağdurlarının verileri gibi görünen, çoğunlukla kullanıcı adı ve şifre kombinasyonlarından oluşan veriler de yayınlandı.
Glimpse (Palo Alto Networks’ün BONDUPDATER adını verdiği PowerShell tabanlı bir yeni bir sürümü)
PoisonFrog (BONDUPDATER’ın eski sürümü)
HyperShell (Palo Alto Networks’ün TwoFace adını verdiği Web Shell’i)
HighShell (başka bir web kabuğu)
Fox Panel (kimlik avı seti)
Webmask (OilRig’s DNS Tunneling ve DNSpionage’in arkasındaki ana araç)
Yukarıdaki araçlar için kaynak kodunun yanı sıra, Dookhtegan, APT34’ün bazı arka uç komut ve kontrol (C&C) sunucularında toplanan kurbanlardan alınan Telegram kanal verilerini de kanalda yayınladı. Chronicle’a göre toplamda başta Orta Doğu’daki ülkeler çoğunlukta olmak üzere Afrika, Doğu Asya ve Avrupa’dan da dahil 66 ülkenin verileri sızdırıldı. Devlet, Telekom, Ulaşım, Askeri, Eğitim, Enerji gibi bir çok sektörün özel veriler yayınlandı. Hacklendiği bilinen Ülkeler ve ilgili sektörler aşağıdaki listede mevcuttur.
Macau High Tech
Saudi Arabia Aerospace
Saudi Arabia Construction/Insurance/Financial
Saudi Arabia Government/ Finance
Saudi Arabia Government/ Telecom
Saudi Arabia Government/Education
Saudi Arabia High Tech
Turkey Energy / Construction
UAE Government / Medical
Bunların yanında geçmiş operasyonlarla ilgili verilerin dışında, kaçakçı ayrıca İran İstihbarat Bakanlığı memurlarına, telefon numaraları, resimler ve APT34 operasyonlarına dahil olan memurların isimlerini de sızdırdı.
Ilk sızıntı “Poison Frog” olarak adlandırılmıştır. Bu sızıntı 2 bölümden oluşmaktadır.
Node.js’de yapılan c2 olan bir sunucu tarafı modülü
Powershell’deki veri yükü olan bir payload kısmı.
Payload, powershell ile yüklenen 2 büyük base64 parçası içerir. Payload belirli bir ve adresinden bir konfigürasyon dosyası almakta ve C: \ Users \ Public \ Public dizini içinde klasörler oluşturmaktadır. Ayrıca diğer 2 payloadı de dizine bırakmaktadır. Dosyaları klasöre ekledikten sonra 2 zamanlanmış görev oluşturmaktadır. Bunlardan biri yönetici, diğeri normal bir kullanıcı var içindir. Bu zamanlanmış görevler iki bırakılan powershell betiğini çalıştıracak böylece her 10 dakikada bir dUpdater.ps1 ve hUpdater.ps. Dosyaları çalışacaktır.
Aynı zamanda hedef sisteme yüklenen zararlı dosyalar virüstotal ile kontrol edildiğinde sadece 2 sistem tarafından zararlı olduğu görülmektedir.
Sızıntının büyük bir kısmı, ASP Web shell “HighShell” ve “HyperShell” olarak bilinen kısımlarındadır. Hala açık kalan ASP web shelleri bulunmaktadır. Sonuç olarak her NT tabanlı işletim sisteminde saldırgan istemciyi NTLM kullanarak saldırganın makinesinde kimlik doğrulaması yapmaya zorlayabilir ve bir MitM saldırısı gerçekleştirebilir.
APT34, DNS Hijacking saldırılarıyla bilindiği için bizleri şaşırtmayan bir DNS korsanının olduğu görülüyor. UDP bağlantı noktası 53 üzerinde çalışmaktadır ve bir istek aldığında, etki alanının konfigürasyon dosyasında olup olmadığını kontrol etmekte ve saldırganın ayarladığı IP ile yanıtı geçersiz kılmaktadır. Yani temelde bu, saldırgana bu DNS’i kullanan kurbanları kendi zararlı DNS sunucusuna yönlendirmektedir. Bu sızıntının diğer sızıntılardan farkı ise sadece kullanıcılardan çok sayıda özel anahtar ve kimlik bilgisi değil, aynı zamanda bazı etki alanları için DA (Etki Alanı Yöneticisi) kimlik bilgileri de içermesidir.