ChainScript RAT: Polygon Üzerinden C2 Altyapısı Döndüren Yeni Tehdit

Siber güvenlik dünyasında yeni bir tehdit beliriyor: ChainScript RAT. Bu uzaktan erişim truva atı, saldırganların kurban sistemler üzerinde geniş çaplı kontrol sağlamasına olanak tanırken, tespit edilmesini zorlaştırmak için alışılmadık yöntemlere başvuruyor. Özellikle, komuta ve kontrol (C2) altyapısını dinamik olarak değiştirmek amacıyla Polygon ağı üzerindeki akıllı sözleşmelerden faydalanması, güvenlik analistleri için yeni bir meydan okuma oluşturuyor. Başlangıç noktası olarak sahte ClickFix reklamlarını kullanan bu yeni nesil zararlı yazılım, kurbanları Spotify, Zoom ve Microsoft Teams gibi popüler uygulamaların kurulum dosyalarıyla kandırıyor.

ChainScript’in Yükselişi ve Hedefleri

Yakın zamanda ortaya çıkan ChainScript, siber suçluların repertuvarına eklediği kapsamlı bir uzaktan erişim truva atı olarak dikkat çekiyor. Bu zararlı yazılım, tespit edilmekten kaçınmak amacıyla ‘ComponentTask33’, ‘UpdateDigital’, ‘HostShared’ ve ‘OrchidViolet66’ gibi farklı adlar altında faaliyet gösteriyor. Kurbanları tuzağa düşürmek için Spotify, Zoom Workplace ve Microsoft Teams gibi sık kullanılan yazılımların güncel sürümleri veya kurulum dosyaları kılığına giriyor. Saldırı zincirinin ilk adımı, genellikle kullanıcıların ClickFix benzeri aldatıcı reklamlar veya oltalama e-postaları aracılığıyla kötü amaçlı bir Windows yükleyicisini indirmesiyle başlıyor.

Bu yükleyici, ‘msiexec.exe’ komutu kullanılarak çalıştırıldığında, zararlı yazılımın sisteme sızması için kapıyı aralıyor. Örneğin, ‘ComponentTask33-4d14e6ac.msi’ adını taşıyan ve Spotify gibi görünen bir dosya, aslında Node.js çalışma ortamını sisteme gizlice kuruyor. Ardından, gizli PowerShell ve VBScript aşamaları devreye girerek ChainScript JavaScript aracısını başlatıyor. Bu süreç, zararlı yazılımın sistemde kalıcılık sağlamasının ve gizli operasyonlarını sürdürmesinin temelini oluşturuyor. Siber güvenlik araştırmacıları, bu tür aldatıcı taktiklerin, genel kullanıcıların kötü niyetli yazılımları fark etmesini önemli ölçüde zorlaştırdığını belirtiyor.

Polygon Akıllı Sözleşmeleri ile C2 İletişimi

ChainScript’in en çarpıcı teknik özelliklerinden biri, komuta ve kontrol (C2) sunucusu keşfi için Polygon ağı üzerindeki akıllı sözleşmeleri kullanması. Bu yöntem, ‘EtherHiding’ adı verilen bir tekniği anımsatıyor ve zararlı yazılımın C2 altyapısını sürekli olarak döndürmesine olanak tanıyor. Geleneksel C2 sunucularının tespiti ve devre dışı bırakılması, genellikle IP adresi veya alan adı tabanlı göstergeler üzerinden yapılırken, ChainScript bu süreci adeta bir zeka oyunu haline getiriyor. Polygon akıllı sözleşmesi, kötü amaçlı yazılımın aktif WebSocket C2 altyapısının yerini belirleyen harici bir çözümleyici görevi görüyor.

Bu merkeziyetsiz keşif mekanizması sayesinde, ChainScript operatörleri, enfekte olmuş ana bilgisayarları mevcut implantı ve yeniden bağlantı iş akışını koruyarak yeni altyapıya yönlendirebiliyor. Bu durum, siber güvenlik ekipleri için geleneksel gösterge tabanlı tespit yöntemlerini büyük ölçüde karmaşıklaştırıyor. Arka uç keşfini zararlı yazılımın kendisinden ayırmak ve bir blok zinciri sözleşmesini harici bir çözümleyici olarak kullanmak, saldırganlara operasyonel süreklilik ve takedown çabalarına karşı direnç sağlıyor. Böylece, kötü amaçlı yazılımın altyapısı kolayca değiştirilebildiği için, güvenlik sağlayıcılarının zararlı faaliyetleri tamamen durdurması oldukça güçleşiyor.

Kapsamlı Yetenekler ve Saldırı Zinciri Detayları

ChainScript, bir uzaktan erişim truva atı olarak oldukça geniş yeteneklere sahip. Operatörlerine, ele geçirilen sistem üzerinde interaktif komut istemcisi (CMD) ve PowerShell erişimi sunuyor. Bu, saldırganların sisteme neredeyse tam kontrolle müdahale edebileceği anlamına geliyor. Dosya işlemleri yapma, ekran görüntüleri alma ve yeni yükleri dağıtma gibi standart RAT özelliklerinin yanı sıra, ChainScript kripto para cüzdanlarını da hedef alıyor. Hem masaüstü uygulamalarındaki hem de tarayıcı eklentilerindeki kripto cüzdanlarını numaralandırma ve potansiyel olarak içeriğini ele geçirme yeteneği, finansal motivasyonlu saldırılar için önemli bir araç haline getiriyor.

Saldırı zinciri, kullanıcıların ClickFix benzeri bir oltalama yemine tıklayarak kötü amaçlı bir MSI yükleyicisini indirmesiyle başlıyor. Bu yükleyici, sisteme Node.js çalışma zamanını kurduktan sonra, gizli PowerShell ve VBScript betikleri aracılığıyla ChainScript JavaScript ajanını başlatıyor. PowerShell betiği, çalışma zamanı, ajan kaynak kodu, yapılandırma dosyaları ve diğer yardımcı ikili dosyalar gibi çeşitli bileşenleri, genellikle ‘%LOCALAPPDATA%’ klasöründeki Microsoft’a benzeyen yollar altına bırakıyor. VBScript ise ChainScript’in ana başlatıcısı işlevini görüyor. Çalışan ajan, planlanmış görevler ve Kayıt Defteri Çalıştırma anahtarı yedeklemesi ile kullanıcı düzeyinde kalıcılık sağlıyor. Yürütüldükten sonra, ChainScript C2 sunucusuna WebSockets üzerinden bağlanarak ek görevler alır ve saldırgana ele geçirilen sistem üzerinde doğrudan kontrol imkanı sunar. Desteklenen komutlar aynı zamanda kendi kendini güncellemeyi ve kalıcılığı kaldırmayı da mümkün kılıyor.

Dağıtık Altyapının Siber Güvenlik İçin Anlamı

ChainScript’in Polygon tabanlı C2 keşif mekanizmasını kullanması, siber suç dünyasında gelişen bir eğilimi yansıtıyor: merkeziyetsiz ve dirençli altyapılara yönelme. Saldırganlar, geleneksel, merkezi sunucuların kolayca tespit edilip kapatılabileceğinin farkında. Bu nedenle, blok zinciri gibi dağıtık teknolojileri kullanarak, komuta ve kontrol sunucularını sürekli olarak değiştirebilen, takedown çabalarına karşı daha dayanıklı sistemler inşa ediyorlar. Bu, güvenlik araştırmacılarının saldırıları izlemesini, altyapıyı haritalandırmasını ve zararlı faaliyetleri durdurmasını önemli ölçüde zorlaştırıyor. Zararlı yazılım, arka uç keşfini ana implanttan ayırarak ve Polygon sözleşmesini harici bir çözümleyici olarak kullanarak, aynı implantı korurken enfekte olmuş ana bilgisayarların yeni C2 sunucularına yeniden bağlanmasını sağlıyor.

Bu strateji, siber tehdit aktörlerinin operasyonel sürekliliği sağlama ve kesintisiz saldırı yeteneğini koruma konusunda ne kadar adapte olduğunu gösteriyor. Geliştirme çerçevelerini ve blok zinciri tabanlı C2 keşfini kullanan bu yeni nesil kötü amaçlı yazılımlar, geleneksel gösterge tabanlı tespit yöntemlerini etkisiz hale getiriyor. Güvenlik sektörünün, bu tür gelişmiş ve adapte olabilen tehditlerle mücadele etmek için daha dinamik ve davranışsal analiz tabanlı savunma mekanizmaları geliştirmesi gerekiyor. Bu durum, yalnızca teknik bir zorluk değil, aynı zamanda siber güvenlik stratejilerinin temelden yeniden düşünülmesi gerektiğine işaret eden bir gelişmedir.

Savunma Stratejileri ve Kullanıcı Bilinci

ChainScript gibi gelişmiş uzaktan erişim truva atlarına karşı korunmak, çok katmanlı bir savunma yaklaşımı gerektiriyor. İlk olarak, kullanıcılar ve kurumlar, e-posta, mesajlaşma uygulamaları ve sosyal medya platformları üzerinden gelen indirme bağlantılarına karşı son derece dikkatli olmalı. Popüler yazılımların güncel kurulum dosyalarını yalnızca resmi ve doğrulanmış kaynaklardan indirmek, kötü amaçlı yükleyicilerin sisteme sızmasını engellemenin en temel yoludur. Bilinmeyen veya şüpheli kaynaklardan gelen dosyalardan ve reklam bağlantılarından uzak durmak, ClickFix benzeri yemlere düşmemek için kritik öneme sahip.

Teknik tarafta, kapsamlı bir uç nokta koruma çözümü, gelişmiş tehdit tespiti ve davranışsal analiz yetenekleriyle donatılmış olmalı. Ağ trafiği izleme, özellikle WebSocket bağlantıları üzerindeki anormallikleri tespit etmek için önemli bir rol oynayabilir. Düzenli güvenlik güncellemeleri ve yamalar, bilinen güvenlik açıklarının kapatılması için elzemdir. Ayrıca, çalışanların ve kullanıcıların siber güvenlik farkındalığını artırmak amacıyla düzenli eğitimler düzenlemek, oltalama ve sosyal mühendislik saldırılarına karşı en güçlü savunmalardan birini oluşturur. Şirketlerin, siber güvenlik duruşlarını bu yeni nesil, blok zinciri tabanlı C2 mekanizmalarını kullanan tehditlere karşı güçlendirmeleri gerekiyor.