Siber güvenlik çözümlerinde dünya lideri olan ESET, Çin bağlantılı TheWizards APT grubu tarafından kullanılan Spellbinder ve WizardNet araçlarını analiz etti. Spellbinder, TheWizards tarafından yerel ortadaki düşman saldırıları gerçekleştirmek ve güncelleme uygulamalarından gelen trafiği saldırgan kontrolündeki bir sunucuya yönlendirmek için kullanılıyor. Bu sunucu, meşru Çin yazılım güncelleme mekanizmaları tarafından kurbanların makinelerine dağıtılan TheWizards’ın imza arka kapısı WizardNet’i gönderiyor. ESET ayrıca TheWizards ile UPSEC olarak da bilinen Çinli Dianke Network Security Technology şirketi arasındaki bağlantıları da detaylandırıyor.
ESET araştırmacılarının bulgularına göre Spellbinder, saldırganların meşru Çin yazılımlarının güncelleme protokollerini kötü niyetli sunuculara yönlendirmesine olanak tanıyan IPv6 durumsuz adres otomatik yapılandırma sahtekârlığı yoluyla ortadaki düşman saldırılarına olanak tanıyor. Ardından meşru yazılım, arka kapı WizardNet’i başlatan kötü amaçlı bileşenleri indirip çalıştırması için kandırıyor. ESET telemetrisine göre Filipinler, Kamboçya, Birleşik Arap Emirlikleri, Çin ve Hong Kong’daki bireyleri, kumar şirketlerini ve bilinmeyen varlıkları hedef alan TheWizards en az 2022’den günümüze kadar sürekli olarak aktif.
Spellbinder ve WizardNet’i analiz eden ESET araştırmacısı Facundo Muñoz, şu açıklamayı yaptı: “Bu aracı ilk olarak 2022’de keşfederek analiz ettik; 2023 ve 2024’te tehlikeye atılmış makinelere dağıtılan birkaç değişiklik içeren yeni bir sürüm gözlemledik. Araştırmamız, saldırganlar tarafından kullanılan ve bir ağdaki paketleri yakalamak ve yanıtlamak için IPv6 SLAAC sahtekârlığını kullanarak ortadaki düşman saldırıları gerçekleştirmek üzere tasarlanmış bir aracı keşfetmemizi sağladı. Bu araç, saldırganların trafiği yeniden yönlendirmesine, meşru Çin yazılımlarına kötü amaçlı güncellemeler sunmasına olanak tanıyor.”
Saldırıdaki son yük, WizardNet adı verilen bir arka kapı: Tehlikeye atılan makinede .NET modüllerini almak ve çalıştırmak için uzaktan kumandaya bağlanan modüler bir implant. ESET araştırmacıları, 2024 yılında Tencent QQ yazılımının güncellemesinin ele geçirildiği en son vakalardan birine odaklandı. Güncelleme talimatlarını yayımlayan kötü niyetli sunucu hâlâ aktif. WizardNet’in bu varyantı beş komutu destekliyor ve bunlardan üçü .NET modüllerini bellekte çalıştırmasına izin veriyor böylece tehlikeye atılan sistemdeki işlevselliğini genişletiyor.
TheWizards ve DarkNights arka kapısının (DarkNimbus olarak da biliniyor) tedarikçisi olan Çinli Dianke Network Security Technology (UPSEC olarak da biliniyor) şirketi bağlantılı görünmektedir. NCSC UK’ye göre, bu kötü niyetli arka kapının öncelikli hedefleri arasında Tibet ve Uygur toplulukları da var. TheWizards farklı bir arka kapı olan WizardNet’i kullanırken ele geçirme sunucusu Android cihazlarda çalışan uygulamaları güncellemek için DarkNights’ı sunmak üzere yapılandırılmıştır.
