ESET’in HotPage adını verdiği bu tehdit, ana sürücüsünü yükleyen ve Chromium tabanlı tarayıcılara kütüphaneler enjekte eden yürütülebilir bir dosyada kendi kendine geliyor. Reklamları engelleyebilen bir güvenlik ürünü gibi görünerek aslında yeni reklamlar sunuyor. Ek olarak, kötü amaçlı yazılım mevcut sayfanın içeriğini değiştirebiliyor, kullanıcıyı yönlendirebiliyor veya başka reklamlarla dolu bir web sitesine yeni bir sekme açabiliyor.
Kötü amaçlı yazılım daha fazla güvenlik açığı ortaya çıkarır ve sistemi daha da tehlikeli tehditlere açık hale getirir. Ayrıcalıklı olmayan bir hesaba sahip bir saldırgan, meşru ve imzalı bir sürücü kullanırken SYSTEM ayrıcalıklarını elde etmek veya daha fazla hasara neden olmak için uzak süreçlere kütüphane enjekte etmek için savunmasız sürücüden yararlanabilir.
2023 yılının sonunda ESET araştırmacıları, uzak süreçlere kod enjekte edebilen bir sürücü ve tarayıcıların ağ trafiğini yakalayıp kurcalayabilen iki kütüphane dağıtan “HotPage.exe” adlı bir yükleyiciye rastladı. Yükleyici, çoğu güvenlik ürünü tarafından bir reklam yazılımı bileşeni olarak algılandı. ESET araştırmacıları için asıl dikkat çekici olan, Microsoft tarafından imzalanan gömülü sürücü oldu. İmzasına göre, Hubei Dunwang Network Technology Co. Ltd. adlı Çinli bir şirket tarafından geliştirilmişti. Tehdidi keşfeden ESET araştırmacısı Romain Dumont, “Şirket hakkındaki bilgi eksikliği ilgi çekiciydi. Dağıtım yöntemi hala belirsiz ancak araştırmamıza göre bu yazılım Çince konuşan bireylere yönelik bir internet kafe güvenlik çözümü olarak tanıtıldı. Reklamları ve kötü niyetli web sitelerini engelleyerek web tarama deneyimini geliştirdiğini iddia ediyor ancak gerçek oldukça farklı; oyunla ilgili reklamları görüntülemek için tarayıcı trafiğini durdurma ve filtreleme yeteneklerinden yararlanıyor. Ayrıca büyük olasılıkla yükleme istatistiklerini toplamak için bilgisayarla ilgili bazı bilgileri şirketin sunucusuna gönderiyor” diye açıklama yaptı.
Mevcut bilgilere göre şirketin iş kapsamı geliştirme, hizmetler ve danışmanlık gibi teknolojiyle ilgili faaliyetlerin yanı sıra reklamcılık faaliyetlerini de içeriyor. Ana hissedar şu anda reklam ve pazarlama konusunda uzmanlaşmış görünen çok küçük bir şirket olan Wuhan Yishun Baishun Culture Media Co, Ltd. Sürücüyü yüklemek için gereken ayrıcalıkların seviyesi nedeniyle kötü amaçlı yazılım, diğer yazılım paketleriyle birlikte paketlenmiş veya bir güvenlik ürünü olarak tanıtılmış olabilir.
Windows’un bildirim geri aramalarını kullanan sürücü bileşeni, açılan yeni tarayıcıları veya sekmeleri izler. Belirli koşullar altında reklam yazılımı, ağa müdahale eden kütüphanelerini yüklemek üzere tarayıcı süreçlerine kabuk kodu enjekte etmek için çeşitli teknikler kullanacaktır. Enjekte edilen kod, Microsoft’un Detours hooking kütüphanesini kullanarak HTTP(S) isteklerini ve yanıtlarını filtreler. Kötü amaçlı yazılım mevcut sayfanın içeriğini değiştirebilir, kullanıcıyı yeniden yönlendirebilir veya oyun reklamlarıyla dolu bir web sitesine yeni bir sekme açabilir. Bariz zararlı davranışının yanı sıra bu çekirdek bileşeni diğer tehditlerin Windows işletim sisteminde mevcut olan en yüksek ayrıcalık seviyesinde kod çalıştırmasına açık kapı bırakır: SYSTEM hesabı. Bu çekirdek bileşenine yönelik uygunsuz erişim kısıtlamaları nedeniyle herhangi bir işlem bu bileşenle iletişim kurabilir ve korumalı olmayan süreçleri hedef almak için kod ekleme özelliğinden yararlanabilir.
“HotPage sürücüsü bize Genişletilmiş Doğrulama sertifikalarını kötüye kullanmanın hala bir şey olduğunu hatırlatıyor. Pek çok güvenlik modeli bir noktada güvene dayandığından, tehdit aktörleri meşru ve şaibeli arasındaki çizgide oynamaya meyillidir. Bu tür yazılımlar ister bir güvenlik çözümü olarak tanıtılsın ister başka bir yazılımla birlikte sunulsun, bu güven sayesinde elde edilen yetenekler kullanıcıları güvenlik riskleriyle karşı karşıya bırakıyor.”
ESET, bu sürücüyü Mart 2024’te Microsoft’a bildirdi ve koordineli güvenlik açığı ifşa sürecini takip etti. ESET teknolojileri, Microsoft’un 1 Mayıs 2024’te Windows Server Kataloğu’ndan kaldırdığı bu tehdidi Win{32|64}/HotPage.A ve Win{32|64}/HotPage.B olarak algılar.
