Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), Türkiye’nin de aralarında bulunduğu birçok ülkeyi etkileyen ve Mirage Kitten isimli gelişmiş kalıcı tehdit (APT) grubu tarafından yürütülen amaçlı bir siber akın kampanyasını tespit etti. Küme; uydurma LinkedIn işe alım bildirileri aracılığıyla havacılık ve finansal teknoloji (fintek) bölümlerini maksat alan, Node.js ve JavaScript tabanlı, platformlar arası çalışabilen yeni casus yazılımlar kullanıyor. Kampanyanın ana odağında Orta Doğu ve Afrika bölgesindeki Mısır, Etiyopya ve Afganistan yer alsa da kelam konusu ataklarla kontaklı ziyanlı yazılımlar Türkiye, Almanya, İsrail, Hindistan ve İrlanda üzere ülkelerde de tespit edildi. Bu gelişme, Kaspersky’nin Temmuz ayında kamuoyuyla paylaştığı, Mirage Kitten’a ilişkin yeni Windows arka kapı keşfinin hemen akabinde geldi.
Tuzak: LinkedIn’deki Sahte Teknoloji İşe Alım Uzmanları
Saldırı zinciri toplumsal mühendislikle başlıyor. Saldırganlar LinkedIn üzerinden kendilerini büyük teknoloji şirketlerinde vazife yapan yetenek kazanımı uzmanları olarak tanıtıyor ve havacılık ile finansal teknoloji kesimlerinde çalışan yazılım mühendisleriyle irtibata geçiyor. Adaylara teknik bir değerlendirmeye katılmaları teklif ediliyor ve yasal Amazon bulut depolama hizmetinde barındırılan bir “kodlama görevi”ni indirmeleri için ilişki gönderiliyor. Aday üzerinde vakit baskısı kurmak hedefiyle teste bir ila üç saatlik katı bir müddet sonu konuluyor. Adayların yapay zekâ dayanaklı kod asistanlarını kullanmaları da bilhassa yasaklanıyor; çünkü bu araçlar paketin içine gizlenmiş ziyanlı yazılımları çarçabuk açığa çıkarabiliyor.
Geliştirici, kodlama testini iş istasyonuna indirip çalıştırdığı anda sızma süreci başlıyor. Yazılımcı uydurma arayüz ve projeler üzerinde çalışmaya odaklanmışken, ziyanlı yazılım arka planda sessizce sisteme kuruluyor.
Saldırı usulleri değişiyor
Mirage Kitten daha evvel C, C++ yahut Go ile geliştirilen lokal programlara dayanıyor ve sırf Windows ortamlarını hedefliyordu. Küme, araç setini Node.js ve JavaScript kullanarak yine geliştirerek Windows, macOS ve Linux sistemlerini tek bir kod tabanı üzerinden birebir anda hedefleyebiliyor.
Kaspersky, bu kampanya kapsamında kurbana nazaran farklı formlarda kullanılan iki yeni berbat emelli yazılım ailesi tespit etti. Bunlardan birincisi NodeRabbit. Node.js tabanlı bu Uzaktan Erişim Truva Atı (RAT), yaygın kullanılan yazılım geliştirme paketlerinin içine gizleniyor ve saldırganlara ele geçirilen sistem üzerinde kapsamlı denetim sağlıyor. Erişimini korumak için geliştiricilere yönelik gelişmiş kalıcılık metotlarından yararlanan berbat gayeli yazılım, Microsoft Visual Studio Code ile birlikte çalışacak formda düzmece çalışma alanı eklentileri yükleyebiliyor yahut geliştiricinin lokal kod depolarını değiştirerek proje kodu her kaydedildiğinde ya da birleştirildiğinde tehdidin otomatik olarak çalışmasını sağlayabiliyor.
İkinci berbat emelli yazılım olan PollCat ise JavaScript tabanlı bir Uzaktan Erişim Truva Atı (RAT). PollCat, adayların “işe alım uzmanı” tarafından sağlanan “tek kullanımlık parola”yı girerek teknik misyona erişmesini bekliyor. Akabinde sistem bilgilerini topluyor, dizinleri tarıyor ve elde ettiği bilgileri saldırganlara gönderiyor.
Kaspersky GReAT Güvenlik Uzmanı Omar Amin konuya ait değerlendirmesinde şunları aktardı: “Geleneksel, derlenmiş ziyanlı yazılımlardan JavaScript tabanlı tehditlere geçiş, Mirage Kitten’ın operasyonel taktiklerinde kritik bir dönüm noktasına işaret ediyor. Küme, işe alım süreçlerini suistimal ederek direkt geliştiricilerin günlük çalışma araçlarına kod enjekte etmek suretiyle kurumsal güvenlik sonlarını fark edilmeden aşabiliyor. Yazılım geliştiricilerin şirket ağlarında ekseriyetle yüksek erişim yetkilerine sahip olması, onları gelişmiş siber casusluk faaliyetleri için son derece kritik ve cazip bir gaye haline getiriyor.”
Kurumların Mirage Kitten ve gibisi gelişmiş kalıcı tehditlerden (APT) korunmak ismine şu temel güvenlik adımlarını uygulamaları öneriliyor:
- Kapsamlı Koruma ve Görünürlük: Şirketinizi geniş yelpazedeki tehditlere karşı korumak için, her ölçekten ve bölümden kuruluşa gerçek vakitli müdafaa, tehdit görünürlüğü, inceleme ile EDR ve XDR cevap yetenekleri sunan Kaspersky Next gibi kurumsal tahlillerden yararlanın. Gereksinimlerinize ve mevcut kaynaklarınıza uygun ürün paketini seçebilir; değişen siber güvenlik ihtiyaçlarınıza nazaran paketler arasında kolaylıkla geçiş yapabilirsiniz.
- Yönetilen Güvenlik Hizmetleri: Tehdit tespitinden daima müdafaa ve müdahaleye kadar tüm olay idaresi döngüsünü kapsayan Kaspersky Compromise Assessment, Managed Detection and Response (MDR) veya Incident Response gibi yönetilen güvenlik servislerini devreye alın. Bu hizmetler, tespit edilmesi güç siber ataklara karşı savunma sağlar, güvenlik olaylarını derinlemesine inceler ve şirket içi siber güvenlik iş gücü eksikliği durumunda uzman takviyesi sunar.
- Tehdit İstihbaratı: Bilgi güvenliği uzmanlarınıza kurumunuzu maksat alan tehditler üzerinde derinlemesine görünürlük kazandırın. Kaspersky Threat Intelligence, tüm olay idaresi döngüsü boyunca güçlü ve aksiyona dönüştürülebilir bir bağlam sunarak siber risklerin vaktinde tespit edilmesine imkan tanır.
Kaynak: (BYZHA) Beyaz Haber Ajansı
