Güvenli USB sürücülere yönelik yeni bir saldırı: Kaspersky, 3. Çeyrek APT raporunda önemli güvenlik eğilimlerini ortaya koyuyor!

Kaspersky, erişim idaresi yazılımına enjekte edilen makus hedefli bir kod ile inançlı USB şoförlerin ele geçirilebildiğini tespit etti. Kelam konusu şoför, Güneydoğu Asya'daki bir kamu kurumu tarafından hassas ortamlardaki makineler ortasında evrakları inançlı bir formda depolamak ve aktarmak için kullanılıyordu. Şoför içine enjekte edilen berbat hedefli kod, şoförün inançlı kısmında kayıtlı kapalı evrakları çalmak ve birebir vakitte bir USB solucanı üzere davranarak bulaşmayı tıpkı cinsten USB şoförlere yaymak üzere tasarlanmıştı. 

Bu taktik, geçen yıl UTetris USB idare yazılımını kullanan ve Kaspersky tarafından TetrisPhantom'a atfedilen şoförlerin ele geçirilmesine benzese de, son olayda şoföre yerleştirilen makûs maksatlı kod yeni oluşuyla dikkat çekiyordu. Bu atakta kullanılan Truva atı USB idare yazılımının yanı sıra, siber hata kümelerinin dünya genelindeki taarruzlarda kullandığı araçlardaki öteki trendlerin tahlili en son Kaspersky Q3 APT raporunda yer alıyor.

Kaspersky'nin 3. Çeyrek APT raporunda açıklanan öbür kıymetli bulgular ortasında şunlar yer alıyor:

Asya

• Kaspersky, daha evvel Vietnamlı kuruluşları gaye almak için kullanılan P8 akın çerçevesini kullanan yeni hücum teknikleri tespit etti. Enfeksiyonların birden fazla Vietnam'daki finans kurumlarında gerçekleşirken, kurbanlardan biri imalat bölümünde faaliyet gösteriyordu.

Asya, Türkiye, Avrupa ve Rusya

• Awaken Likho, en az Temmuz 2021'den beri etkin olan ve öncelikle kamu kurumlarını ve yüklenicileri amaç alan bir APT kampanyası olarak dikkat çekiyor. Kaspersky bugüne kadar öbür ülkelerin yanı sıra Rusya, Hindistan, Çin, Vietnam, Tayvan, Türkiye, Slovakya, Filipinler, Avustralya, İsviçre ve Çek Cumhuriyeti'nde 120'den fazla amaç tespit etti. Daha evvel saldırganlar yasal uzaktan idare aracı UltraVNC'nin kullanımına odaklanırken, Haziran 2024'te ortaya çıkarılan ve hala devam eden bir taarruz kampanyasında saldırganlar son yükü UltraVNC'den MeshAgent'a yönlendirdi. MeshAgent, farklı bir uzaktan idare aracı ve açık kaynaklı bir uzaktan idare sunucusu kullanıyor.

Afrika ve Asya

• Scarab kümesi tarafından siber casusluk kampanyalarında yaygın olarak kullanılan bir araç olan Scieron art kapısı, Afrika'daki bir kamu kurumunu ve Orta Asya'daki bir telekom sağlayıcısını amaç alan yeni bir kampanyada tespit edildi.

Orta Doğu

• MuddyWater, 2017 yılında ortaya çıkan ve öncelikli olarak Orta Doğu, Avrupa ve ABD'deki ülkeleri gaye alan bir APT aktörü. Yakın vakitte Kaspersky, MuddyWater APT kümesinin yetkisiz girişlerde kullanılan ve bugün hala faal olan VBS/DLL tabanlı implantları ortaya çıkardı. İmplantlar Mısır, Kazakistan, Kuveyt, Fas, Umman, Suriye ve BAE'deki birçok kamu kurumu ve telekom kuruluşunda bulundu.
• Tropic Trooper (diğer ismiyle KeyBoy yahut Pirate Panda), 2011 yılından beri faaliyet gösteren bir APT kümesi. Kümenin maksatları ortasında kamu kurumlarının yanı sıra Tayvan, Filipinler ve Hong Kong'da bulunan sıhhat, ulaşım ve yüksek teknoloji kesimleri yer alıyor. Kaspersky'nin en son tahlili, kümenin 2024 yılında Mısır'daki bir kamu kurumuna hücum düzenlediğini ortaya çıkardı. Akında muhtemelen Çince konuşan aktörler tarafından kullanılan bir taarruz bileşeni tespit edildi.

Rusya

• 2021'de Kaspersky tarafından, VLC medya oynatıcısındaki güvenlik açıklarını kullanarak Rusya'daki devlet kurumlarını gaye alan ExCone isimli bir kampanya tespit edildi. Daha sonra Avrupa, Orta Asya ve Güneydoğu Asya'da da kurbanlar bulunduğu tespit edildi. 2022'de kimlik avı e-postaları bulaşma vektörü olarak kullanılmaya başlandı ve Pangolin Truva atının güncellenmiş bir sürümünün dağıtımında kullanıldı. Temmuz 2024'ün ortalarında saldırganlar birinci bulaşma vektörü olarak bir JavaScript yükleyicisi yerleştirmeye yöneldi ve Rus eğitim kurumlarına saldırdı.

Latin Amerika ve Asya

• Haziran ayında Kaspersky, daha evvel bilinmeyen ziyanlı yazılımlar kullanarak Latin Amerika ve Doğu Asya'daki kamu kurumlarını amaç alan PassiveNeuron isimli faal bir kampanya tespit etti. Güvenlik eserleri yüklenmeden evvel ele geçirilen sunuculara bulaşmak için nasıl bir formül kullanıldığı bilinmiyor. Operasyonda kullanılan implantlar bilinen berbat hedefli yazılımlarla rastgele bir kod benzerliği paylaşmıyor. Bu nedenle bilinen bir tehdit aktörüne atfedilmesi şu an için mümkün değil. Kampanya çok yüksek seviyede karmaşıklık gösteriyor.

Kaspersky Güvenlik Araştırmaları Lideri David Emm, şunları söylüyor: "2024 yılı boyunca dünya genelinde Kaspersky tarafından 3 milyar mahallî tehdit tespit edildi ve engellendi. İnançlı USB şoförlerdeki yazılımların ele geçirilmesi alışılmadık bir durum. Lakin bu durum birebir vakitte müdafaa altındaki lokal dijital alanların sofistike planlarla ele geçirilebileceği gerçeğinin altını çiziyor. Siber hatalılar araç setlerini daima olarak güncelliyor ve faaliyetlerinin kapsamını genişleterek gayelerini hem hedeflenen kesimler açısından hem de coğrafik olarak genişletiyor. Ayrıyeten APT tehdit aktörleri tarafından daha fazla açık kaynak araç kullanıldığını görüyoruz." 

APT Q3 2024 trendleri raporunun tamamını okumak için Securelist adresini ziyaret edebilirsiniz.

Gelişmiş kalıcı tehditler (APT'ler), bir sisteme erişim sağlamak ve potansiyel olarak yıkıcı sonuçlar doğuracak formda uzun müddet içeride kalmak için kullanılan daima, bâtın ve sofistike bilgisayar korsanlığı tekniklerine karşılık geliyor. APT'ler çoklukla ulus-devletler ve büyük şirketler üzere kritik değere sahip amaçlara yönelik olarak hücumlarını gerçekleştiriyor. Kesin emelleri, birçok siyah şapkalı saldırganın daha düşük düzeyli siber hücumları gerçekleştirirken yaptığı çeşitten üzere basitçe "dalma ve süratle ayrılma” tekniklerinin tersine, yerleştikleri yerde uzun müddet boyunca kalarak bilgi çalmaya odaklanıyor.

Kaspersky araştırmacıları, amaçlı bir taarruzun kurbanı olmamak için bireylere ve kurumlara şu tavsiyelerde bulunuyor:

• SOC takımınızın en yeni tehdit istihbaratına (TI) erişmesini sağlayın. Kaspersky Threat Intelligence, şirketin TI'sına ortak erişim noktasıdır ve Kaspersky tarafından 20 yılı aşkın bir müddettir toplanan siber atak datalarını ve içgörüleri tek bir noktadan sunar.
• GReAT uzmanları tarafından geliştirilen Kaspersky çevrimiçi eğitimiyle siber güvenlik grubunuzu en son amaçlı tehditlerle çaba edecek halde geliştirin.
• Kaspersky Anti Targeted Attack Platform gibi gelişmiş tehditleri ağ seviyesinde erken evrede tespit eden kurumsal seviyede bir güvenlik tahliline başvurun.
• Tüm varlıklarınızın kapsamlı bir biçimde korunmasını sağlamak için Kaspersky Next XDR Expert gibi merkezi ve otomatikleştirilmiş tahliller kullanın.
• Birçok maksatlı taarruz kimlik avı yahut öteki toplumsal mühendislik teknikleriyle başladığından, Kaspersky Automated Security Awareness Platform aracılığıyla takımınıza güvenlik şuuru eğitimi verin ve pratik hünerler kazandırın.
• İşletim sisteminizi ve yazılımlarınızı mümkün olan en kısa müddette güncelleyin ve bunu tertipli bir alışkanlık haline getirin.

Kaynak: (BYZHA) Beyaz Haber Ajansı