Ukrayna’daki Siber Tehditler ve Ghostwriter Operasyonu
Belarus’a bağlı bir tehdit aktörü olan Ghostwriter, Ukrayna’daki hükümet kuruluşlarını hedef almak için Prometheus adlı çevrimiçi öğrenme platformuyla bağlantılı oltalama saldırıları düzenlemektedir. Bu saldırılar, 2026 baharında Ukrayna Bilgisayar Acil Durum Müdahale Ekibi (CERT-UA) tarafından tespit edilmiştir.
Saldırı Nasıl Çalışıyor?
Saldırının temel stratejisi, hükümet kurumlarına gönderilen oltalama e-postalarıdır. Bu e-postalar genellikle aşağıdaki bileşenleri içermektedir:
- PDF ekli bir e-posta;
- PDF içindeki bir bağlantı;
- Bağlantıya tıklandığında, bir JavaScript dosyasını içeren bir ZIP arşivinin indirilmesi.
JavaScript dosyası, OYSTERFRESH olarak adlandırılmaktadır ve kullanıcıları oyalamak amacıyla bir sahte belge göstermektedir. Bu dosya, Windows Kayıt Defteri’ne şifrelenmiş ve obfuscate edilmiş bir yük olan OYSTERBLUES yazarken, aynı zamanda OYSTERSHUCK adlı bir dosyayı indirip çalıştırmaktadır.
Etkilenen Sistemler
OYSTERBLUES, sistem hakkında birçok bilgi toplamak için tasarlanmıştır. Toplanan veriler, bir komut ve kontrol (C2) sunucusuna HTTP POST isteği ile gönderilmektedir. Toplanan bilgiler arasında aşağıdakiler yer alır:
- Bilgisayar adı,
- Kullanıcı hesabı,
- İşletim sistemi versiyonu,
- Son OS başlatma zamanı,
- Çalışan süreçlerin listesi.
Veri toplandıktan sonra, sistem bir sonraki aşamayı içeren JavaScript kodunu aldıktan sonra, bu kod eval() fonksiyonu kullanılarak çalıştırılmaktadır. Sonuç olarak, bu payload’un Cobalt Strike olduğu düşünülmektedir. Cobalt Strike, kötü niyetli saldırılar için yaygın olarak kullanılan bir framework’dür.
Çözüm ve Korunma
CERT-UA, bu siber tehditin istismar edilme olasılığını azaltmak için şu öneride bulunmaktadır: Kullanıcı hesaplarının wscript.exe kullanma yetkisini kısıtlamak. Bu basit önlem, potansiyel saldırı yüzeylerini önemli ölçüde daraltabilir.
Sonuç
Kamu ve özel sektörün, siber saldırılara karşı savunmalarını güçlendirmesi kritik öneme sahiptir. Aşağıdaki adımları takip etmenizi öneriyoruz:
- Tüm sistemlerinizi güncelleyiniz;
- Gereksiz portları kapatınız;
- Antivirüs ve güvenlik yazılımlarınızı güncel tutunuz;
- Kullanıcıların e-posta eklerine ve bağlantılara karşı dikkatli olmalarını sağlamak için eğitim veriniz.
Bugün bu önlemleri alarak, gelecekteki tehditlere karşı daha iyi bir konumda olabilirsiniz.
