Kelompok cyberespionage yang didukung Türkiye mengeksploitasi kerentanan nol hari untuk menyerang pengguna messenger output yang terhubung dengan militer Kurdi di Irak.
Analis intelijen microsoft ancaman yang melihat serangan ini juga menemukan cacat keamanan (CVE-2025-27920) Dalam aplikasi pesan LAN, kerentanan traversal direktori yang dapat memungkinkan penyerang yang diautentikasi mengakses file sensitif di luar direktori yang dimaksud atau menggunakan muatan berbahaya pada folder startup server.
“Penyerang dapat mengakses file seperti file konfigurasi, data pengguna yang sensitif, atau bahkan kode sumber, dan tergantung pada konten file, ini dapat menyebabkan eksploitasi lebih lanjut, termasuk eksekusi kode jarak jauh,” SRIMAX, pengembang aplikasi, menjelaskan Dalam penasihat keamanan yang dikeluarkan pada bulan Desember ketika bug ditambal dengan rilis Output Messenger v2.0.63.
Microsoft mengungkapkan pada hari Senin bahwa grup peretasan (juga dilacak sebagai penyu, silikon, dan UNC1326) yang ditargetkan pengguna yang belum memperbarui sistem mereka untuk menginfeksi mereka dengan malware setelah mendapatkan akses ke aplikasi output Messenger Server Manager.
Setelah mengkompromikan server, peretas debu marmer dapat mencuri data sensitif, mengakses semua komunikasi pengguna, menyamar sebagai pengguna, mendapatkan akses ke sistem internal, dan menyebabkan gangguan operasional.
“Meskipun saat ini kami tidak memiliki visibilitas bagaimana debu marmer memperoleh otentikasi dalam setiap contoh, kami menilai bahwa aktor ancaman memanfaatkan pembajakan DNS atau domain kesalahan ketik untuk mencegat, log, dan menggunakan kembali kredensial, karena ini adalah teknik yang diukur dengan debu marmer dalam aktivitas jahat yang sebelumnya diamati,” Microsoft berkata.
Selanjutnya, para penyerang mengerahkan pintu belakang (Omserverservice.exe) ke perangkat korban, yang memeriksa konektivitas terhadap domain perintah dan kontrol yang dikendalikan oleh penyerang (API.WordInfos[.]com) dan kemudian memberikan informasi tambahan kepada para aktor ancaman untuk mengidentifikasi setiap korban.
Dalam satu contoh, klien messenger output pada perangkat korban yang terhubung ke alamat IP yang terhubung ke grup ancaman debu marmer, kemungkinan untuk exfiltration data, tak lama setelah penyerang menginstruksikan malware untuk mengumpulkan file dan mengarsipkannya sebagai arsip RAR.
Debu marmer dikenal karena menargetkan Eropa dan Timur Tengah, dengan fokus pada perusahaan telekomunikasi dan TI, serta lembaga dan organisasi pemerintah yang menentang pemerintah Turki.
Untuk melanggar jaringan penyedia infrastruktur, mereka memindai kerentanan di perangkat yang menghadap internet. Mereka juga mengeksploitasi akses mereka ke pendaftar DNS yang dikompromikan untuk mengubah konfigurasi server DNS organisasi pemerintah, yang memungkinkan mereka untuk mencegat lalu lintas dan mencuri kredensial dalam serangan man-in-the-middle.
“Serangan baru ini menandakan perubahan penting dalam kemampuan debu marmer sambil mempertahankan konsistensi dalam pendekatan keseluruhan mereka,” tambah Microsoft. “Keberhasilan penggunaan eksploitasi nol-hari menunjukkan peningkatan kecanggihan teknis dan juga dapat menunjukkan bahwa prioritas penargetan debu marmer telah meningkat atau bahwa tujuan operasional mereka menjadi lebih mendesak.”
Tahun lalu, debu marmer juga Terkait dengan beberapa kampanye spionase Menargetkan organisasi di Belanda, terutama menargetkan perusahaan telekomunikasi, penyedia layanan internet (ISP), dan situs web Kurdi antara 2021 dan 2023.
