Başlangıçta Kanada Gelir İdaresi (CRA) vergi formlarını yem olarak kullanması nedeniyle yalnızca Kanada'yı hedef alan bir oltalama kampanyası olduğu düşünülen uzaktan izleme ve yönetim (RMM) saldırısının, aslında 46 ülkeye yayılan çok daha geniş çaplı bir operasyonun parçası olduğu ortaya çıktı.
Gözlemlenen saldırı faaliyetlerinin yaklaşık yüzde 45'i ABD ile ilişkilendirildi ve bu durum ülkeyi kampanyanın coğrafi olarak en çok hedef aldığı bölge haline getirdi. ANY.RUN araştırmacıları, kurbanları yasal uzaktan izleme ve yönetim (RMM) yazılımlarını kurmaya kandırmak için sahte belgeler kullanan bu geniş çaplı operasyonla 601 vakayı bağlantılandırdı.
Saldırganlar, kargo ve UPS iletişimleri, Adobe PDF'leri, vergi bildirimleri, ABD Sosyal Güvenlik İdaresi temalı belgeler, faturalar ve diğer çeşitli evrakları kullanarak yemlerini farklı hedeflere göre uyarlıyor. Saldırganların hızla değiştirdiği ve tek kullanımlık Vercel altyapısı, kampanyanın takip edilmesini ve tespit edilmesini zorlaştırıyor.
Günlük Altyapı Değişikliğiyle ABD Odaklı Tehdit
Kampanyanın altyapısı, saldırı modelinden çok daha hızlı bir şekilde değişim gösteriyor. ANY.RUN araştırmacıları, 240 farklı sunucuda 425 kit URL'si tespit etti ve bunların yüzde 94'ü yalnızca tek bir gün boyunca aktif kaldı.
Operasyonda teslimat aşamasında Vercel, GitHub Pages, Netlify, ele geçirilmiş web siteleri ve diğer çeşitli altyapılar kullanıldı. Zararlı yazılımlar ayrıca Amazon S3, Cloudflare R2, GitHub, DigitalOcean Spaces, Dropbox ve GoFile gibi hizmetler üzerinden de hazırlandı.
Bu hızlı rotasyona rağmen, oltalama kiti daha kalıcı izler bırakıyor. font1.woff2 gibi paylaşılan varlıklar, tekrarlayan görsel kaynakları ve secure.html → project/*.zip teslimat yapısı, araştırmacıların aksi takdirde birbirinden bağımsız görünen altyapıları aynı kampanyaya bağlamasına yardımcı oldu.
Eğitim, teknoloji ve devlet kurumları en çok hedef alınan sektörler arasında yer alıyor. Bankacılık, finans ve imalat sektörleri de saldırılarda öne çıkan diğer hedefler arasında bulunuyor.
