Giriş
Son dönemde, China-linked bir siber tehdit grubu olan UAT-8099 tarafından gerçekleştirilen yeni bir kampanya, Asya’daki Internet Information Services (IIS) sunucularını hedef almıştır. Bu durum, siber güvenlik açısından büyük bir tehdit oluşturmakta ve özellikle Tayland ile Vietnam üzerindeki etkileri dikkat çekici bir şekilde artmaktadır.
Saldırı Nasıl Çalışıyor?
UAT-8099, IIS sunucularına uzaktan erişim sağlamak için web shell’leri ve PowerShell kullanarak GotoHTTP aracını dağıtmaktadır. Araştırmalara göre, bu grubun kampanyası genellikle aşağıdaki aşamalardan oluşmaktadır:
- Sistem bilgilerini toplamak amacıyla keşif ve analiz komutları çalıştırmak.
- VPN araçlarını dağıtmak ve “admin$” adında gizli bir kullanıcı hesabı oluşturarak süreklilik sağlamak.
- Sharp4RemoveLog, CnCrypt Protect, OpenArk64 ve GotoHTTP gibi yeni kötü amaçlı yazılımları yüklemek.
- Yeni oluşturulan hesap üzerinden BadIIS kötü amaçlı yazılımını dağıtmak.
UAT-8099, “admin$” hesabının güvenlik ürünleri tarafından bloklanması durumunda, erişimi sürdürmek için “mysql$” adlı yeni bir kullanıcı hesabı oluşturmayı tercih etmektedir.
Etkilenen Sistemler
Bu siber saldırılar, başta Hindistan, Pakistan, Tayland, Vietnam ve Japonya olmak üzere, özellikle Tayland ve Vietnam üzerindeki etkileri ile dikkat çekmektedir. Kurbanlar, genellikle IIS sunucularını barındıran işletmelerdir ve SEO dolandırıcılığı amacıyla hedef alınmaktadır. UAT-8099, bu kampanya ile birlikte SEO odaklı taktiklerinde belirgin bir değişim göstermekte ve yerel hedefleri daha spesifik bir şekilde vurgulamaktadır.
Çözüm ve Korunma
Bu tehditten korunmak adına önerilen adımlar şunlardır:
- Güvenlik güncellemelerinizi düzenli olarak kontrol edin ve uygulayın.
- Port güvenliği ve gereksiz servislerin devre dışı bırakılması gibi yapısal önlemleri alın.
- Web sunucusu yapılandırmalarınızı gözden geçirin ve güvenlik açıklarını kapatın.
- Şüpheli aktiviteleri tespit etmek için izleme ve güvenlik çözümlerini güçlendirin.
Sonuç olarak, potansiyel tehditleri azaltmak için sunucu ve kullanıcı hesaplarınızı sıkı bir şekilde yönetmeli ve güvenlik politikalarınızı güncel tutmalısınız. Unutmayın, her zaman en iyi savunma, proaktif bir yaklaşım sergilemektir.
