Giriş
Son dönemde, SloppyLemming adını taşıyan bir tehdit grubunun, Pakistan ve Bangladeş’teki hükümet organları ile kritik altyapı operatörlerini hedef alan yeni bir saldırı serisi gerçekleştirdiği bildiriliyor. Bu saldırılar, siber güvenlik açısından büyük bir endişe kaynağı oluşturuyor.
Saldırı Nasıl Çalışıyor?
Siber güvenlik şirketi Arctic Wolf’un raporuna göre, saldırılar Ocak 2025 ile Ocak 2026 arasında gerçekleşti. İki farklı saldırı zinciri kullanılarak gerçekleştirilen saldırılarda, BurrowShell ve Rust tabanlı bir anahtar kaydedici kullanımı dikkat çekiyor. Rust programlama dilinin kullanımı, SloppyLemming’in araçlarında önemli bir evrim olduğunu göstermektedir; daha önce sadece geleneksel derlenmiş dilleri ve Cobalt Strike, Havoc gibi simülasyon çerçevelerini kullanan aktör, şimdi daha karmaşık yöntemler benimsemiştir.
Etkilenen Sistemler
SloppyLemming, 2022’den beri Pakistan, Sri Lanka, Bangladeş ve Çin’deki hükümet, hukuk, enerji, telekomünikasyon ve teknoloji kuruluşlarını hedef alıyor. Daha önceki saldırılarda Ares RAT ve WarHawk gibi kötü amaçlı yazılımlar kullanıldığı belgelenmiştir. Yeni saldırılarda ise, özellikle aşağıdaki teknikler öne çıkmaktadır:
- Spear-phishing e-postaları ile PDF ve makro içeren Excel belgeleri kullanılarak enfeksiyon zincirleri başlatılıyor.
- PDF belgeleri, kurbanları ClickOnce uygulama manifestolarına yönlendiren URL’ler içeriyor.
- BurrowShell, tam donanımlı bir arka kapı olarak dosya sistemi manipülasyonu, ekran yakalama, uzaktan kabuk çalıştırma ve SOCKS proxy özellikleri sunuyor.
Çözüm ve Korunma
Saldırının başarılı olması durumunda, mscorsvc.dll gibi zararlı yükleyicilerin çalıştırılması ve BurrowShell implantının devreye girmesi söz konusudur. Bu tehditten korunmak için aşağıdaki önlemleri almanız önerilmektedir:
- Yazılımınızı ve işletim sisteminizi düzenli olarak güncelleyin.
- Spear-phishing e-postalarına karşı dikkatli olun; şüpheli bağlantılara tıklamayın.
- Güvenlik duvarı ve antivirüs yazılımlarınızı güncel tutun.
Sonuç
SloppyLemming’in gerçekleştirdiği bu yüksek profilli saldırılar, siber güvenlik riski taşıyan kuruluşlar için acil bir tehdittir. Kuruluşların, bu tür saldırılara karşı kendilerini korumak için yazılımlarını güncelleyip, güvenlik önlemlerini güçlendirmesi gerekmektedir. Potansiyel zafiyetleri minimize etmek için portlarını kapatmayı ve sistemlerini güvence altına almayı unutmayın.
