Kaspersky araştırmacılarının 2020’nin ilk yarısında elde ettiği bulgular, APT (Advanced Persistent Threat-Gelişmiş Kalıcı Tehdit) gruplarının tüm dünyada gelişim içinde olduğunu gösteriyor.
Kaspersky'den yapılan açıklamaya göre, son birkaç yıldır en çok öne çıkan tehdit gruplarından biri olan Lazarus grubu, finansal kazanımlar elde edebilmek için artık çok daha fazla yatırım yapıyor. Siber casusluk ve siber sabotaj gibi amaçlarının yanı sıra bu tehdit aktörü grup, tüm dünya çapında bankalar ve diğer bazı finans kurumlarını hedef aldı. Kaspersky araştırmacıları bu çeyrekte ayrıca Lazarus’un kötücül yazılımlarını yaymak için, siber suç ekosisteminde pek görülmeyen bir yöntem kullandığını; çok platformlu bir arayüz olan ve MATA olarak adlandırılan kendi fidye yazılımını geliştirip kullandığını da gözlemledi.
Lazarus, daha önce, kötü şöhretiyle hatırlanan WannaCry saldırısıyla ilişkilendirilmişti. CactusPete adlı Çinli grup, son dönemde yaygın olarak çeşitli işlevler için eklentiler içeren, karmaşık ve modüler bir saldırı platformu olan ShadowPad’i kullanıyor. ShadowPad, daha önce farklı saldırı vakalarında kullanılan farklı bir eklenti alt kümesiyle, bir dizi büyük siber saldırıda kullanıldı.
MuddyWater APT grubu, 2017’de keşfedildi ve o zamandan beri Orta Doğu’da aktif olarak varlığını sürdürüyor. 2019 yılında Kaspersky araştırmacıları, Orta Doğu’daki bazı telekomünikasyon şirketleri ve hükümet kurumlarını hedefine alan saldırı faaliyetlerini bildirmişti.
"Tehdit ortamı çığır açıcı olaylarla dolu değil ama...."
Kaspersky kısa süre önce ise MuddyWater’ın, yatay hareket için kullandığı ve Secure Socket Funneling adı verilen açık kaynaklı bir yardımcı programdan yararlandığı yeni bir saldırı dalgasında yepyeni bir C ++ programı kullandığını keşfetti.
HoneyMyte APT, bir Güneydoğu Asya ülkesi hükümetinin web sitesine yönelik olarak “Watering hole” saldırısı gerçekleştirdi. Mart ayına gerçekleştirilen bu saldırı tekniğiyle siber saldırganlar, hedeflerinde olan kuruma zarar verebilmek için beyaz liste (whitelisting) ve sosyal mühendislik tekniklerinden yararlandı. Burada tehdit aktörleri, kurbanı basit bir ZIP arşiv dosyası indirerek bir Cobalt Strike yazılımı yürütmeye teşvik eden “readme” dosyası kullandı. Cobalt Strike’ı çalıştırmak için kullanılan mekanizma, bir Cobalt Strike stager kodunun şifresini çözen ve yürüten DLL yan yüklemesiydi.
Gelişmiş PhantomLance mobil saldırılarının arkasındaki tehdit aktörü olan OceanLotus, 2019’un ikinci yarısından bu yana çok aşamalı yükleyicisinin farklı ve yeni türlerini kullanıyor. Yeni türler, nihai implantlarının doğru kurbana yerleştirilmesini sağlamak için hedef bilgisayarlardan önceden ele geçirilen bilgileri (kullanıcı adı, ana bilgisayar adı vb.) kullanıyor. Grup, arka kapı implantının yanı sıra Cobalt Strike Beacon’ı da güncelleştirilmiş bir altyapı ile kullanmaya devam ediyor.
Açıklamada görüşlerine yer verilen Kaspersky Global Araştırma ve Analiz Ekibi Baş Güvenlik Araştırmacısı Vincente Diaz, “Tehdit ortamı her zaman ‘çığır açıcı’ olaylarla dolu değil ama siber suçluların faaliyetlerinde son birkaç aydır da azalma kesinlikle yaşanmadı. Tehdit aktörlerinin araç setlerinde iyileştirmeler yapmaya, saldırı vektörlerini çeşitlendirmeye ve hatta yeni hedef türlerine geçmeye devam ettiklerini görüyoruz.
Örneğin, mobil implantların kullanımı artık yeni bir olgu değil. Gördüğümüz bir diğer eğilim ise BlueNoroff ve Lazarus gibi bazı APT gruplarının finansal kazanca doğru ilerliyor olması. Yine de jeopolitik, birçok tehdit aktörü için de önemli bir motivasyon kaynağı olmaya devam ediyor. Tüm bu gelişmeler yalnızca tehdit ortamı istihbaratına yatırım yapılmasının önemini vurguluyor. Siber suçlular zaten başarıya ulaştıkları zaman durmuyor, sürekli olarak yeni TTP’ler geliştiriyorlar. Dolayısıyla kendilerini ve kurumlarını saldırılara karşı korumak isteyenler de öyle hareket etmek durumunda.” değerlendirmelerinde bulundu.
AA