Lumma: Base64 kodlu PowerShell
Lumma Stealer profiliCISA ve FBI’a göre kullanıcı panodaki komutu Çalıştır penceresine yapıştırıp Enter’a bastığında Base64 kodlu bir PowerShell süreci başlıyor. CISA ve FBI (AA25-141B)
Living off the Land (LOTL)
Saldırganın kendi aracını getirmek yerine işletim sisteminde zaten bulunan meşru programları kullanması.
PowerShell, mshta, rundll32 ya da macOS’ta osascript gibi araçlar her sistemde vardır ve imzalıdır. Saldırgan bunları kullandığında yeni bir dosya yazmaz, güvenilir bir program çalıştırmış olur. MITRE ATT&CK
Infostealer dağıtımında bu yöntem çok yaygındır: kullanıcıya yapıştırtılan tek satırlık komut, sistemin kendi betik yorumlayıcısıyla asıl yükü indirir. CISA ve FBI (AA25-141B)
PowerShell, mshta ya da osascript başlatılır. MITRE ATT&CK
Kodlanmış ya da internetten alınan bir betik çalıştırılır. MITRE ATT&CK
Araç asıl zararlı yazılımı indirir ve başlatır. MITRE ATT&CK
CISA ve FBI’a göre kullanıcı panodaki komutu Çalıştır penceresine yapıştırıp Enter’a bastığında Base64 kodlu bir PowerShell süreci başlıyor. CISA ve FBI (AA25-141B)
Zscaler’a göre MacSync’in ikinci aşama betiği Terminal’de çalıştırılıyor ve indirilen içerik doğrudan osascript’e aktarılıyor. Zscaler
Kurumunuzun sızıntı yüzeyini tek ekranda görün: kaç bulgu, hangi önem derecesinde, hangi alan adında.
Web sitemizin düzgün çalışması, analiz edilmesi ve size uygun içerik ile reklamların sunulabilmesi için çerezler kullanıyoruz. Tercihlerinizi dilediğiniz zaman yönetebilirsiniz. Çerez Politikası