Giriş
Son dönemde, Çin kökenli bir ileri düzey sürekli tehdit (APT) grubunun, Güney Amerika’daki hükümet kuruluşlarını hedef alan siber saldırılar gerçekleştirdiği tespit edildi. Bu durum, uluslararası güvenlik dinamiklerini tehdit eden önemli bir gelişme olarak öne çıkmaktadır.
Saldırı Nasıl Çalışıyor?
Cisco Talos, bu tehdit grubunu UAT-8302 olarak adlandırmakta ve grubun, özel yapım kötü amaçlı yazılımlar kullanarak geniş çaplı siber faaliyetlere katıldığını belirlemektedir. Bu saldırılar, aşağıdaki zararlı yazılım ailelerini içermektedir:
- NetDraft (aka NosyDoor): C# tabanlı bir arka kapı.
- CLOUDSORCERER (3.0 versiyonu): UAT-8302’nin kullandığı başka bir araç.
- VSHELL: Uzaktan erişim sağlamak için kullanılan bir başka kötü amaçlı yazılım.
UAT-8302’nin farklı kötü amaçlı yazılım türlerinin kullanımı, daha önce kamuoyuna açıklanan tehdit kümeleri ile bağlantılı olduğunu göstermektedir.
Etkilenen Sistemler
ESET, UAT-8302’nin kullandığı NosyDoor’un LongNosedGoblin adlı bir gruba ait olduğunu tespit etmiştir. Ayrıca, Solar isimli Rus güvenlik şirketi, bu zararlı yazılımın Rus IT kuruluşlarına karşı da kullanıldığını ve “LuckyStrike Agent” ismiyle adlandırıldığını belirtmiştir. Şu an için, saldırganların hedef ağlara nasıl ilk erişimi sağladığı bilinmemekte, ancak sıklıkla sıfırıncı gün ve N-gün güvenlik açıklarını kullanma yöntemleri üzerinde durulmaktadır.
Çözüm ve Korunma
UAT-8302, ağda ilerlemek için açık kaynak araçlar kullanmakta ve gogo gibi otomatik tarama programları çalıştırmaktadır. Saldırının etkinliğini artırmak için aşağıdaki gibi ek stratejiler de gözlemlenmiştir:
- SNOWRUST: Rust tabanlı bir yazılım, VShell yükünü uzaktan indirip çalıştırmak için kullanılmıştır.
- Stowaway ve SoftEther VPN: Alternatif arka kapı erişimleri kurmak amacıyla kullanılan proxy ve VPN araçlarıdır.
Bu bulgular, Çin kökenli farklı grupların iş birliği yaparak nasıl daha kompleks saldırılar gerçekleştirdiğini ortaya koymaktadır.
Sonuç
Kurumlar, bu tür tehditlere karşı önlem almak için sistemlerini güncellemeli, gereksiz hizmetleri kapatmalı ve güvenlik açıklarını değerlendirmelidir. Ayrıca, sıfırıncı gün ve N-gün açıklarının izlenmesi için sürekli güvenlik taramaları yapılmalıdır. Tüm bu işlemler, siber güvenliği artıracak ve potansiyel saldırıları minimize edecektir.
