Kaspersky’nin Global Araştırma ve Analiz Ekibi (GReAT), Endonezya’nın Bali kentinde düzenlenen Security Analyst Summit’te, Lazarus APT kümesiyle ilişkilendirilen bir siber casusluk kampanyası olan Operation FlashHole’a ait bulgularını paylaştı. En az Temmuz 2025’ten bu yana faal olan kampanya, Güney Kore’de inşaat, yazılım ve kablolu bağlantı ekipmanları üretimi bölümlerinde faaliyet gösteren en az üç kuruluşu etkiledi. Saldırganlar maksat odaklı oltalama e-postalarından ve legal CrossWeb EX yazılımından yararlanırken, daha evvel belgelenmemiş araçların da aralarında bulunduğu güncellenmiş ziyanlı yazılımları devreye aldı.
Kaspersky GReAT, kelam konusu operasyonun Lazarus’un birinci defa geçtiğimiz yıl tespit edilen Operation SyncHole harekâtıyla ilişkili yeni bir taarruz dalgası olduğunu ortaya koydu. Tehdit aktörlerinin araç ve tekniklerini vakit içinde geliştirerek harekâtı çok daha kalıcı ve gelişmiş bir yapıya kavuşturduğu görülüyor.
Araştırmacılar, harekât kapsamında komuta ve kontrol (C2) kanalı olarak istismar edilen bir GitHub hesabıyla irtibatlı bir GitHub Pages web sitesi keşfetti. Eylül 2025’te açılan bu hesap, başlangıçta kıdemli bir ağ aygıtı geliştiricisine ilişkin geçersiz bir öz geçmiş sitesine konut sahipliği yapıyordu. Bu yem, Lazarus’un iş arama temalı imzası niteliğindeki Operation DreamJob yaklaşımıyla birebir örtüşüyor. Sayfada düzmece iş arayana ilişkin yapay zekâ ile üretilmiş bir portre fotoğrafının yer alması, araştırmacıların saldırganların siteleri amaçlara özel uyarlarken de yapay zekâdan yararlandığı sonucuna varmasını sağladı. Harekât; amaç alınan bireylere özel olarak kurgulanmış portföy ve öz geçmiş sitelerine yönlendiren irtibatların yer aldığı maksatlı oltalama e-postalarıyla başlatıldı.
Araştırma bulguları, berbat maksatlı sitenin ziyaret edilmesinin, Güney Kore’de yaygın olarak kullanılan bir güvenlik eklentisi ve web kimlik doğrulama yazılımı olan CrossWeb EX üzerinden bir bulaşma zincirini tetikleme ihtimalinin epey yüksek olduğunu gösteriyor. Taarruz faaliyetinin, CrossWeb EX yazılımındaki potansiyel bir güvenlik açığından yararlanılarak gerçekleştirilmiş ve saldırganlara ilk sızma noktasını sağlamış olabileceği bedellendiriliyor. Hakikaten daha evvel de kelam konusu finansal güvenlik yazılımında bir zafiyet bulunduğunu doğrulayan bir güvenlik bildirimi yayımlanmıştı. Kapsamlı tahliller sonucunda çok sayıda ziyanlı yükü (payload) tespit eden araştırmacılar, bulaşma zincirini tekrar yapılandırarak sofistike bir ziyanlı yazılım dağıtım altyapısını ve maksat sistemlerdeki izleri gizlemeye yarayan gelişmiş teknikleri gün yüzüne çıkardı.
Saldırganlar, mevcut ziyanlı yazılımlarının yeni sürümlerini daha evvel belgelenmemiş iki yeni araçla —TouchHub ve ClientHub— harmanladı. Sonuncu amacı siber casusluk olan bu bileşenler; hedeflenen bilgisayarlara ek ziyanlı yazılımlar yüklüyor, komutlar çalıştırıyor ve saldırganlarla iletişimi sürdürüyor. Yeni araçlardan birinin, operatörleriyle irtibat kurmak için Dropbox platformundan yararlanan bir varyantı da bulunuyor.
Kampanyada ayrıyeten, Lazarus kümesinin uzun müddettir kullandığı ve ele geçirilen bilgisayarlar hakkında bilgi toplayarak ek ziyanlı yazılımlar yükleyen LPEClient aracının güncellenmiş bir sürümüne rastlandı. Yeni sürüm; sistemlerde yüklü güvenlik yazılımları, Windows güvenlik muhafazaları ve öteki sistem özellikleri hakkında bilgi topluyor. Akabinde bu dataları sıkıştırıp şifreleyerek saldırganlara gönderiyor.
Güncellenen LPEClient, gelecekteki kuantum bilgisayarların gerçekleştirebileceği muhtemel taarruzlara karşı iletişimi korumak gayesiyle tasarlanan kuantum sonrası bir kriptografik sistem olan ML-KEM-1024’ü de kullanıyor. Araç, ek ziyanlı yazılımları indirmeden ve direkt bellek üzerinde çalıştırmadan evvel saldırganların sunucusuyla şifreli bir temas kurmak için bu düzenekten yararlanıyor. Tespit edilmekten kaçınmak emeliyle bellek müdafaa ayarlarını değiştirerek ve güvenlik araçlarının kuşkulu sistem faaliyetlerini belirlemek için kullandığı bir izleme kancasını (hook) devre dışı bırakarak güvenlik izleme sistemlerini da aşmaya çalışıyor.
Kaspersky GReAT Kıdemli Güvenlik Araştırmacısı Sojun Ryu, bahisle ilgili şu değerlendirmede bulunuyor: “Lazarus, faaliyet alanını genişletmeye devam ediyor. Küme, yeni kampanyalar başlatırken gereksinimlerine nazaran yeni araçlar geliştiriyor ve mevcut araçlarını tekrar düzenliyor. Operation FlashHole tahlilimiz ve evvelki araştırmalarımızdan elde ettiğimiz bulgular, kümenin uzun müddettir kullandığı taarruz formüllerine yapay zekâyı da dâhil etmeye başladığını gösteriyor. Lazarus’la kontaklı öbür tehdit aktörlerinde de benzeri bir değişim gözlemliyoruz. Daha yakından incelenmesi gereken bir başka husus ise kümenin gelecekteki kuantum tehditlerine sağlam olacak formda tasarlanan kriptografik formülleri benimsemesi. Bulgularımız, bu teknolojinin en az Eylül 2024’ten bu yana kullanıldığını ortaya koyuyor. Bu da kelam konusu yeteneklerin, bulgularımız kamuoyuyla paylaşılmadan bir yıldan uzun mühlet evvel kümenin ziyanlı yazılım bağlantısını korumak için devrede olduğunu gösteriyor.”
Araştırmanın tamamına Securelist.com üzerinden ulaşılabilirsiniz.
Kaspersky, kuruluşların Operation FlashHole üzere Lazarus taarruzlarına ve kampanyalarına karşı korunmak için aşağıdaki en düzgün uygulamaları hayata geçirmesini öneriyor:
- Çalışanları maksat odaklı oltalama teşebbüslerini tanımaları için eğitin. Profesyonel ve inandırıcı görünen web sitelerine yönlendirenler dâhil olmak üzere, beklenmedik e-postaları ve irtibatları doğrulayın. Kuşkulu mesajların güvenlik takımına bildirilmesini sağlayın.
- Yazılımları aktüel tutun ve güvenlik yamalarını gecikmeden uygulayın. İş açısından kritik uygulamalardaki güvenlik açıklarını sistemli olarak değerlendirin. Saldırganların bu açıklardan yararlanma riskini azaltmak için gereksiz bileşenleri devre dışı bırakın.
- Kullanıcı yetkilerini sonlandırın ve bulut hizmetlerine yönelik temasları izleyin. Bu hizmetlerin komuta-kontrol iletişimi maksadıyla berbata kullanılabileceğini göz önünde bulundurun.
- Kuruluşunuzu Operation FlashHole’da kullanılan araçlar da dâhil olmak üzere çeşitli tehditlere karşı korumak için Kaspersky Next ürün ailesinden yararlanın. Her ölçekten ve bölümden kuruluş için geliştirilen bu eser ailesi; gerçek vakitli müdafaa, tehdit görünürlüğü, olay inceleme ve EDR ile XDR tahlillerinin sunduğu müdahale imkanlarını sağlar. Mevcut gereksinimlerinize ve kaynaklarınıza uygun ürün düzeyini seçebilir, siber güvenlik ihtiyaçlarınız değiştiğinde diğer bir düzeye kolay kolay geçebilirsiniz. Detaylı bilgi için Kaspersky Next sayfasını ziyaret edebilirsiniz.
- Kaspersky’nin Yönetilen Güvenlik Hizmetlerinden yararlanın. Bu hizmetler arasında Compromise Assessment, Managed Detection and Response (MDR) ve/veya Incident Response bulunuyor. Olay idaresinin tehditlerin belirlenmesinden daima müdafaa ve güzelleştirme çalışmalarına kadar tüm etaplarını kapsayan bu hizmetler, tespit edilmesi güç siber taarruzlara karşı korunmaya ve güvenlik olaylarının incelenmesine yardımcı oluyor. Ayrıyeten kendi bünyesinde kâfi sayıda siber güvenlik uzmanı bulunmayan kuruluşlara ek uzmanlık takviyesi sağlıyor.
- Bilgi güvenliği gruplarınızın kuruluşunuzu amaç alan siber tehditleri kapsamlı biçimde görebilmesini sağlayın. Kaspersky Threat Intelligence, olay idaresinin tüm basamaklarında kapsamlı ve manalı tehdit bağlamı sunarak siber risklerin vaktinde belirlenmesine yardımcı oluyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
