ESET, dünya çapında siber güvenlik liderliğiyle Polonya merkezli bir platform olan VirusTotal üzerinde paylaşılan bir HybridPetya ön yükleme kitinin ortaya çıkarılmasına ilişkin yeni bulgularını paylaştı. Örnek, NotPetya’nin gölgesini taşıyan bir kopya olarak görüldü ve özellikle modern UEFI tabanlı sistemleri hedefleyen EFI tabanlı bir kötü amaçlı uygulama yükleyebildiğini gösterdi. ESET araştırmacısı Martin Smolár, Temmuz 2025’in sonlarında NotPetya benzeri dosya adlarıyla tespit edilen fidye yazılımı örnekleriyle karşılaştıklarını belirtti. Bu örnekler, 2017’de Ukrayna ve diğer ülkelerde yıkıcı etkileriyle bilinen NotPetya ile bağlantılı olabileceğini düşündürüyor ve HybridPetya olarak adlandırılmasına yol açtı. NotPetya ile ortak özellikler taşıyan bu yeni yazılım türü, fidye taleplerini sürdürürken daha çok Petya tarzı davranışları benimsemiş durumda.
Dağıtılan EFI uygulaması, UEFI Sistem Bölümüne yüklenerek modern sistemlere karşı tehdit oluşturabiliyor. Bu uygulama, NTFS’nin ana dosya tablosu (MFT) gibi kritik meta verilerini şifrelemeyi amaçlayan dosyaları hedef alıyor ve tüm dosyalar hakkında bilgi içeren önemli bir veri setini etkiliyor. Smolár, VirusTotal’da ilginç bir bulguya daha işaret etti: EFI Sistem Bölümü içeriğini tamamen kapsayan bir arşiv, cloak.dat adlı özel biçimlendirilmiş bir dosyada saklanarak CVE-2024-7344 güvenlik açığına karşı savunmasız kalıyor. Bu açık, ESET ekibinin 2025 başlarında keşfettiği UEFI Güvenli Önyükleme atlama zafiyetinin bir parçası olarak değerlendiriliyor.
Ocak 2025 itibarıyla ESET’in yayınları, bu istismarın ayrıntılarını özellikle paylaşmaktan kaçınıyordu; bu durum, kötü niyetli aktörlerin cloak.dat dosya formatını tersine mühendislikle yeniden oluşturmuş olabileceğini düşündürüyor. Telemetri verileri ise HybridPetya’nın hâlihazırda aktif olarak kullanılmadığını gösteriyor; bu durum, kavramsal bir kanıt veya bir güvenlik araştırmacısının keşfi olarak değerlendirilmesini gerektiriyor. Ayrıca, The original NotPetya’da görülen ağ üzerinden genişleme dinamiklerinin bu sürümde daha sınırlı olduğu gözlemleniyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
News
