Turla’nın Kazuar Botnet’i: Tehditin Derinlikleri
Rusya destekli siber saldırı grubu Turla, özel arka kapısı Kazuar’ı modüler bir eşler arası (P2P) botnet’e dönüştürdü. Bu gelişme, sızdırılmış sistemlere gizli ve sürekli erişim sağlamak açısından büyük bir önem taşıyor.
Saldırı Nasıl Çalışıyor?
Turla, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından, Rusya’nın Federal Güvenlik Servisi (FSB) ile bağlantılı olduğu değerlendiriliyor. Daha önceki aktiviteleri, ATG26, Blue Python, Iron Hunter gibi adlarla da biliniyor. Bu grup, Avrupa ve Orta Asya’da hükûmet, diplomatik ve savunma sektörlerini hedef alan saldırılarla tanınıyor.
Kazuar’ın Yapısı
Kazuar, 2017 yılından bu yana kullanılan gelişmiş bir .NET arka kapısıdır. Microsoft’un son raporuna göre, Kazuar, monolitik bir yapıdan modüler bir bot ekosistemine evrilmiştir. Üç ana modül türü içeren bu yapı şunları içeriyor:
- Kernel: Botnet’in merkezi koordinatörü olarak çalışır, Worker modüllerine görevler atar, Bridge modülüyle iletişim kurar ve veri toplama görevlerini yerine getirir.
- Bridge: Kernel modülü ile C2 sunucusu arasında bir proxy görevi görür.
- Worker: Tuş vuruşlarını kaydeder, Windows olaylarını yakalar ve sistem bilgilerini toplar.
Etkilenen Sistemler
Saldırılar, Pelmeni ve ShadowLoader gibi yükleyicilerle dağıtılan kötü amaçlı yazılımlara dayanıyor. Bu yükleyiciler modülleri şifreleyerek başlatıyor. Kazuar’in Kernel modülü, üç iç iletişim mekanizması sunuyor ve bu da esneklik sağlıyor.
Çözüm ve Korunma
Modüllerin işleyişiyle ilgili bazı detaylar şu şekildedir:
- Kernal, C2 sunucusundan yeni görevler almak üzere sürekli olarak güncellenir.
- Worker modülü verileri toplar, şifreler ve C2 sunucusuna gönderir.
- Tüm bu süreçlerde belirlenen çalışma dizini kullanılır, bu dizin sızma öncesinde tanımlanır ve organize edilir.
Sonuç
Organizasyonlar, Kazuar gibi botnet’lere karşı koymak için şu adımları atmalıdır:
- Sistem yazılımlarını en güncel versiyonlarıyla güncelleyin.
- Ağ içindeki gereksiz portları kapatın.
- İzleme ve güvenlik çözümlerinizi güçlendirin.
- Saldırı tespit ve önleme sistemlerini aktif hale getirin.
Bu yapı ve önlemler, siber tehditlere karşı güvenliği artırmaya yönelik etkili bir strateji sunacaktır.
