Siber güvenlik alanında dünya lideri ESET, Polonya'dan VirusTotal platformuna yüklenen HybridPetya adlı yeni bir önyükleme kiti ve fidye yazılımı örneği keşfetti. Bu kötü amaçlı yazılım, kötü şöhretli Petya/NotPetya'nın bir varyantı olup, UEFI tabanlı sistemleri hedef alma ve CVE-2024-7344 güvenlik açığını kullanarak eski sistemlerde UEFI Güvenli Önyüklemeyi atlatma yeteneğine sahip.
ESET araştırmacısı Martin Smolár, 2025 yılının Temmuz ayı sonunda notpetyanew.exe ve benzeri dosya adlarıyla karşılaştıklarını belirtti. Bu örneklerin, 2017 yılında Ukrayna ve diğer ülkelerde büyük zarara yol açan NotPetya saldırısıyla bağlantılı olduğunu ifade etti. NotPetya saldırısı, 10 milyar dolardan fazla maddi hasara neden olmuştu. Yeni kötü amaçlı yazılıma, Petya ve NotPetya'nın özelliklerini taşıdığı için HybridPetya adı verildi.
HybridPetya, kurbanın kişisel kurulum anahtarını oluşturmak için farklı bir algoritma kullanıyor. Bu sayede, kötü amaçlı yazılım operatörü kurbanın şifre çözme anahtarını yeniden oluşturabiliyor ve böylece normal bir fidye yazılımı gibi çalışıyor. Ayrıca, EFI Sistem Bölümüne kötü amaçlı bir EFI uygulaması yükleyerek modern UEFI tabanlı sistemleri de hedef alabiliyor. Bu EFI uygulaması, NTFS dosya sistemindeki Ana Dosya Tablosu (MFT) dosyasını şifrelemekten sorumlu; MFT, dosya sistemi hakkında kritik meta veriler içeriyor.
Smolár, VirusTotal'de yapılan daha derin araştırmada, CVE-2024-7344 güvenlik açığına karşı savunmasız özel biçimlendirilmiş bir cloak.dat dosyası içinde paketlenmiş, benzer bir HybridPetya UEFI uygulaması içeren bir arşiv keşfettiklerini açıkladı. CVE-2024-7344, ESET ekibinin 2025 başında ortaya çıkardığı ve UEFI Güvenli Önyüklemeyi atlamaya imkan veren bir güvenlik açığıdır. ESET, istismar detaylarını kasıtlı olarak paylaşmamıştı; bu nedenle kötü amaçlı yazılım yazarı, güvenlik açığını tersine mühendislik yaparak cloak.dat dosya formatını oluşturmuş olabilir.
ESET telemetri verileri, HybridPetya'nın henüz aktif olarak kullanılmadığını gösteriyor. Bu nedenle, HybridPetya'nın bir güvenlik araştırmacısı veya bilinmeyen bir tehdit aktörü tarafından geliştirilmiş bir kavram kanıtı olabileceği düşünülüyor. Ayrıca, bu kötü amaçlı yazılım orijinal NotPetya'da görülen agresif ağ yayılımı davranışını sergilemiyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı