Kaspersky, LinkedIn Üzerinden Yürütülen Uydurma İşe Alım Saldırısını ve Yeni Platformlar Arası Casus Yazılımı Ortaya Çıkardı

0

BEĞENDİM

ABONE OL

News

0

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), Türkiye’nin de aralarında bulunduğu birçok ülkeyi etkileyen ve Mirage Kitten isimli gelişmiş kalıcı tehdit (APT) grubu tarafından yürütülen gayeli bir siber atak kampanyasını tespit etti. Küme; geçersiz LinkedIn işe alım bildirileri aracılığıyla havacılık ve finansal teknoloji (fintek) bölümlerini maksat alan, Node.js ve JavaScript tabanlı, platformlar arası çalışabilen yeni casus yazılımlar kullanıyor. Kampanyanın ana odağında Orta Doğu ve Afrika bölgesindeki Mısır, Etiyopya ve Afganistan yer alsa da kelam konusu hücumlarla irtibatlı ziyanlı yazılımlar Türkiye, Almanya, İsrail, Hindistan ve İrlanda üzere ülkelerde de tespit edildi. Bu gelişme, Kaspersky’nin Temmuz ayında kamuoyuyla paylaştığı, Mirage Kitten’a ilişkin yeni Windows arka kapı keşfinin hemen akabinde geldi.

Tuzak: LinkedIn’deki Sahte Teknoloji İşe Alım Uzmanları

Saldırı zinciri toplumsal mühendislikle başlıyor. Saldırganlar LinkedIn üzerinden kendilerini büyük teknoloji şirketlerinde misyon yapan yetenek kazanımı uzmanları olarak tanıtıyor ve havacılık ile finansal teknoloji dallarında çalışan yazılım mühendisleriyle bağlantıya geçiyor. Adaylara teknik bir değerlendirmeye katılmaları teklif ediliyor ve yasal Amazon bulut depolama hizmetinde barındırılan bir “kodlama görevi”ni indirmeleri için irtibat gönderiliyor. Aday üzerinde vakit baskısı kurmak hedefiyle teste bir ila üç saatlik katı bir mühlet hududu konuluyor. Adayların yapay zekâ dayanaklı kod asistanlarını kullanmaları da bilhassa yasaklanıyor; çünkü bu araçlar paketin içine gizlenmiş ziyanlı yazılımları çarçabuk açığa çıkarabiliyor.

Geliştirici, kodlama testini iş istasyonuna indirip çalıştırdığı anda sızma süreci başlıyor. Yazılımcı geçersiz arayüz ve projeler üzerinde çalışmaya odaklanmışken, ziyanlı yazılım arka planda sessizce sisteme kuruluyor.

Saldırı teknikleri değişiyor

Mirage Kitten daha evvel C, C++ yahut Go ile geliştirilen mahallî programlara dayanıyor ve sadece Windows ortamlarını hedefliyordu. Küme, araç setini Node.js ve JavaScript kullanarak yine geliştirerek Windows, macOS ve Linux sistemlerini tek bir kod tabanı üzerinden tıpkı anda hedefleyebiliyor.

Kaspersky, bu kampanya kapsamında kurbana nazaran farklı hallerde kullanılan iki yeni berbat maksatlı yazılım ailesi tespit etti. Bunlardan birincisi NodeRabbit. Node.js tabanlı bu Uzaktan Erişim Truva Atı (RAT), yaygın kullanılan yazılım geliştirme paketlerinin içine gizleniyor ve saldırganlara ele geçirilen sistem üzerinde kapsamlı denetim sağlıyor. Erişimini korumak için geliştiricilere yönelik gelişmiş kalıcılık usullerinden yararlanan berbat gayeli yazılım, Microsoft Visual Studio Code ile birlikte çalışacak biçimde düzmece çalışma alanı eklentileri yükleyebiliyor yahut geliştiricinin lokal kod depolarını değiştirerek proje kodu her kaydedildiğinde ya da birleştirildiğinde tehdidin otomatik olarak çalışmasını sağlayabiliyor.

İkinci berbat emelli yazılım olan PollCat ise JavaScript tabanlı bir Uzaktan Erişim Truva Atı (RAT). PollCat, adayların “işe alım uzmanı” tarafından sağlanan “tek kullanımlık parola”yı girerek teknik vazifeye erişmesini bekliyor. Akabinde sistem bilgilerini topluyor, dizinleri tarıyor ve elde ettiği bilgileri saldırganlara gönderiyor.

Kaspersky GReAT Güvenlik Uzmanı Omar Amin konuya ait değerlendirmesinde şunları aktardı: “Geleneksel, derlenmiş ziyanlı yazılımlardan JavaScript tabanlı tehditlere geçiş, Mirage Kitten’ın operasyonel taktiklerinde kritik bir dönüm noktasına işaret ediyor. Küme, işe alım süreçlerini suistimal ederek direkt geliştiricilerin günlük çalışma araçlarına kod enjekte etmek suretiyle kurumsal güvenlik sonlarını fark edilmeden aşabiliyor. Yazılım geliştiricilerin şirket ağlarında ekseriyetle yüksek erişim yetkilerine sahip olması, onları gelişmiş siber casusluk faaliyetleri için son derece kritik ve cazip bir amaç haline getiriyor.”

Kurumların Mirage Kitten ve gibisi gelişmiş kalıcı tehditlerden (APT) korunmak ismine şu temel güvenlik adımlarını uygulamaları öneriliyor:

• Kapsamlı Koruma ve Görünürlük: Şirketinizi geniş yelpazedeki tehditlere karşı korumak için, her ölçekten ve bölümden kuruluşa gerçek vakitli muhafaza, tehdit görünürlüğü, inceleme ile EDR ve XDR cevap yetenekleri sunan Kaspersky Next  gibi kurumsal tahlillerden yararlanın. Gereksinimlerinize ve mevcut kaynaklarınıza uygun ürün paketini seçebilir; değişen siber güvenlik ihtiyaçlarınıza nazaran paketler arasında basitçe geçiş yapabilirsiniz.
• Yönetilen Güvenlik Hizmetleri: Tehdit tespitinden daima müdafaa ve müdahaleye kadar tüm olay idaresi döngüsünü kapsayan Kaspersky Compromise Assessment, Managed Detection and Response (MDR) veya Incident Response gibi yönetilen güvenlik servislerini devreye alın. Bu hizmetler, tespit edilmesi güç siber ataklara karşı savunma sağlar, güvenlik olaylarını derinlemesine inceler ve şirket içi siber güvenlik iş gücü eksikliği durumunda uzman takviyesi sunar.
• Tehdit İstihbaratı: Bilgi güvenliği uzmanlarınıza kurumunuzu maksat alan tehditler üzerinde derinlemesine görünürlük kazandırın. Kaspersky Threat Intelligence, tüm olay idaresi döngüsü boyunca varlıklı ve aksiyona dönüştürülebilir bir bağlam sunarak siber risklerin vaktinde tespit edilmesine imkan tanır.

Kaynak: (BYZHA) Beyaz Haber Ajansı