بکدور TinyTurla-NG، توسط هکرهای Turla در نفوذ به سازمان‌ های لهستان استفاده شد

Turla که با نام‌‌های Iron Hunter (شکارچی آهنین)، Pensive Ursa (اورس متفکر)، Secret Blizzard ( بلیزارد مخفی یا Krypton سابق)، Snake (مار)، Uroburos (اوروبوروس) و Venomous Bear (خرس سمی) نیز شناخته می‌‌شود، یک عامل تهدید وابسته به دولت روسیه است که با سرویس امنیت فدرال (FSB) مرتبط می‌باشد.

این عامل تهدید در ماه‌های اخیر، بخش دفاعی اوکراین و اروپای شرقی را توسط یک بکدور جدید مبتنی بر دات نت به نام DeliveryCheck مورد حمله قرار داده است، در حالی که ایمپلنت مرحله دوم اصلی خود را به نام Kazuar ارتقا داده است که از اوایل سال 2017 از آن استفاده می‌کند.

بکدور TinyTurla-NG به دلیل داشتن شباهت با TinyTurla، ایمپلنت دیگری که توسط همین گروه مهاجم در نفوذ به ایالات متحده آمریکا، آلمان و افغانستان حداقل از سال 2020 مورد استفاده قرار گرفته، نامگذاری شده است. TinyTurla اولین بار در سپتامبر 2021 کشف گردید.

آخرین کمپین مربوط به بکدور TinyTurla-NG به هجدهم دسامبر 2023 باز می‌گردد و گفته می‌شود که تا بیست و هفتم ژانویه 2024 ادامه داشته است. با این حال، بر اساس تاریخ های گردآوری بدافزار گمان می‌رود که این فعالیت واقعاً در نوامبر 2023 آغاز شده باشد.

گزارش فنی سیسکو تالوس بیان می‌کند که بکدور TinyTurla-NG یک سرویس DLL است که از طریق svchost.exe آغاز شده است و ویژگی‌های بدافزار از طریق رشته‌های مختلف توزیع می‌شوند. هکرها با استفاده از دستورات ذخیره شده در وب سایت‌های هک شده با نسخه قدیمی وردپرس، می‌توانند TinyTurla-NG را با دستورات زیر کنترل کنند:

• timeout: تعداد دقیقه‌هایی که بکدور بین درخواست‌های جدید از C2، sleep می‌شود را تغییر می‌دهد.
• Changeshell: به بکدور دستور می دهد تا دستورات اجرایی shell فعلی را تغییر دهد، یعنی از exe به PowerShell.exe یا بالعکس.
• changepoint: احتمالاً برای آموزش تغییر به آدرس اینترنتی دوم C2 موجود در ایمپلنت استفاده می‌شود.
• Get: یک فایل مشخص شده توسط C2 را با استفاده از یک درخواست HTTP GET واکشی می‌کند و آن را در یک مکان مشخص روی دیسک می‌نویسد.
• Post: فایلی را از قربانی به C2 استخراج می‌کند.
• Killme: یک فایل BAT با نامی بر اساس یک پارامتر داده شده ایجاد می‌کند.

در حال حاضر مشخص نیست که بکدور چگونه در میان سیستم‌‌های قربانیان توزیع می‌شود، اما معلوم است که از وب ‌سایت‌های مبتنی بر وردپرس هک شده به عنوان endpoint فرمان و کنترل به منظور واکشی و اجرای دستورالعمل‌‌ها استفاده می‌کند که به بکدور امکان می‌دهد دستورات را از طریق PowerShell یا Command Prompt (cmd.exe) و همچنین دانلود یا آپلود فایل‌ها اجرا کند.

استخراج داده‌ها با استفاده از اسکریپت‌های مخرب PowerShell صورت می‌پذیرد که محققان TurlaPower-NG آن‌ها را از طریق بکدور جدید تحویل داده‌اند.

بکدور TinyTurla-NG در دسامبر گذشته همچنین به عنوان مجرایی برای ارائه اسکریپت‌های PowerShell با نام TurlaPower-NG عمل کرده است که به منظور استخراج رمزهای عبور اصلی برای نرم افزار مدیریت رمز عبور محبوب طراحی شده‌اند.