OceanLotus ve SPECTRALVIPER Tehditleri
Vietnam merkezli tehdit aktörü OceanLotus, yerel kuruluşları ve borsa yatırımcılarını hedef alan iki ayrı kampanya ile dikkat çekiyor. Bu saldırılar, hem siber casusluk faaliyetleri hem de tedarik zinciri saldırılarıyla, önemli bir tehdit oluşturmaktadır.
Saldırı Nasıl Çalışıyor?
OceanLotus, özellikle SPECTRALVIPER adında bir arka kapı yazılımı kullanarak hedeflerine sızıyor. ESET’in tespitlerine göre, bu kampanyalar:
- 2024 ortalarından 2026 Şubatına kadar, Vietnam’daki bir altyapı ve ulaşım inşaat şirketini hedef alıyor.
- 2025 Ekim ile 2026 Mart arasında, borsa yatırımcıları için popüler bir yazılım platformu olan FireAnt Metakit üzerinden tedarik zinciri saldırısı gerçekleştiriliyor.
Etkilenen sistemlerde, DLL yan yükleme yöntemi kullanılarak SPECTRALVIPER dağıtılıyor. Bu işlem, meşru bir .DLL dosyasının kötü amaçlı bir sürümle yüksek düzeyde entegre edilmesi ile gerçekleştiriliyor.
Etkilenen Sistemler
OceanLotus’un hedef aldığı sistemler arasında:
- Vietnam’daki kamu şirketleri
- Altyapı ve ulaşım inşaat firmaları
- Borsa yatırımcıları için yazılımlar
Bu olay, tehdit aktörünün yerel casusluğa daha fazla yoğunlaştığını gösteriyor. Geçmişte, grup uluslararası hedefleri de kapsamına aldı. Ancak, son saldırılarla birlikte, içeriden casusluk pratikleri daha belirgin hale geldi.
Çözüm ve Korunma
Olayın ciddiyetine binaen, organizasyonların alması gereken önlemler aşağıda sıralanmıştır:
- Güncellemelerinizi Kontrol Edin: Yazılımlarınızı her zaman güncel tutun.
- Güvenlik Duvarları ve Port Kapatma: Gerekirse kullanılmayan portları kapatın.
- İzleme Çözümleri Kurun: Şüpheli aktiviteleri tespit etmeye yarayan yazılımlar kullanın.
Ayrıca, tüm yazılım ve hizmetlerinizin kullanıcı erişimlerini sürekli izlemek, içeriden gelecek tehditlere karşı da bir koruma katmanı sağlar.
Sonuç
Bu tehditler, özellikle bilgi güvenliği açısından alarm verici. Organizasyonların, güvenlik yazılımlarını güncelleyerek, geniş kapsamlı bir güvenlik politikası oluşturmasını öneriyoruz. Herhangi bir şüpheli aktivite veya güvenlik açığı tespit edildiğinde, derhal hizmet sağlayıcılarla irtibata geçilmelidir.
