Rusya-Ukrayna çatışma bölgesindeki kuruluşlara kalıcı tehdit kampanyası

Kaspersky araştırmacıları, Rusya ve Ukrayna arasındaki çatışmanın sürdüğü bölgede bulunan kuruluşları hedef alan yeni ve gelişmiş bir kalıcı tehdit (APT) kampanyası keşfetti.

Şirketten yapılan açıklamaya göre, Kaspersky'nin keşfettiği CommonMagic olarak adlandırılan casusluk kampanyasının en az Eylül 2021'den beri aktif olduğu düşünülüyor.

Saldırganlar, hedeflerinden veri toplamak için daha önce bilinmeyen bir kötü amaçlı yazılım kullanıyor. Hedefler arasında Donetsk, Luhansk ve Kırım bölgelerinde bulunan idare, tarım ve ulaştırma kuruluşları yer alıyor.

Saldırılar, PowerMagic olarak adlandırılan PowerShell tabanlı bir arka kapı ve CommonMagic adı verilen yeni bir kötü amaçlı çerçeve yardımıyla gerçekleştiriliyor. Bunlardan CommonMagic, USB cihazlarından dosya çalma, veri toplama ve saldırgana gönderme yeteneğine sahip bulunuyor. Bununla birlikte modüler çerçevelerin yapısı itibarıyla yeni kötü amaçlı modüller aracılığıyla ek kötü amaçlı faaliyetlerin başlatılmasına izin vermesinden dolayı saldırının potansiyeli bu iki işlevle sınırlı değil.

Saldırılar, bulaşma zincirinin sonraki adımlarında da belirtildiği gibi büyük olasılıkla spearphishing veya benzer yöntemlerle başlatıldı. Yani hedefler önce bir internet adresine, oradan kötü niyetli sunucu üzerinde barındırılan bir ZIP arşivine yönlendirildi. Arşiv, PowerMagic arka kapısını dağıtan kötü amaçlı bir dosya ve kurbanları içeriğin yasal olduğuna inandırmayı amaçlayan iyi huylu bir sahte belge içeriyordu. Kaspersky, bölgelerdeki çeşitli kuruluşların kararnamelerine dair atıfta bulunan başlıklarla yazılmış bu türden bir dizi yem dosyası keşfetti.

- PowerMagic hedeflerine CommonMagic olarak bulaşıyor

Kurban, arşivi indirdikten ve arşivdeki kısayol dosyasına tıkladıktan sonra PowerMagic arka kapısı sisteme bulaşıyor. Devamında arka kapı genel bir bulut depolama hizmetinde bulunan uzak bir klasördeki komutları alıyor, gönderilen komutları çalıştırıyor ve sonuçları buluta geri yüklüyor. PowerMagic, ayrıca virüs bulaşmış cihazın her açılışında yeniden başlatılmak üzere kendisini sisteme kalıcı olarak yerleştiriyor.

Kaspersky, tespit ettiği tüm PowerMagic hedeflerine CommonMagic olarak adlandırılan modüler bir çerçevenin de bulaştığını keşfetti. Bu, CommonMagic'in PowerMagic tarafından dağıtılmış olabileceğine işaret ediyor ancak mevcut verilerden bulaşmanın nasıl gerçekleştiği net değil.

CommonMagic çerçevesi birden fazla modülden oluşuyor. Her çerçeve modülü ayrı bir süreçte başlatılan yürütülebilir bir dosya içeriyor ve modüller birbirleri arasında iletişim kurabiliyor. Çerçeve, USB cihazlarından dosya çalmanın yanı sıra her üç saniyede bir ekran görüntüsü alabiliyor ve daha sonra bunları saldırgana gönderiyor.

Kampanyada kullanılan kod ve veriler ile daha önce bilinen kod ve veriler arasında doğrudan bir bağlantı kurulabilmiş değildi. Bununla birlikte kampanya hala aktif olduğundan ve soruşturmalar devam ettiğinden daha fazla araştırma sonucunda bu kampanyayı belirli bir tehdit aktörüne atfetmeye yardımcı olabilecek ek bilgilerin ortaya çıkması mümkün. Mağdurların coğrafi açıdan sınırlı olması ve yem olarak kullanılan mesajların konu başlıkları, saldırganların muhtemelen kriz bölgesindeki jeopolitik duruma özel bir ilgi duyduklarını gösteriyor.

- "Jeopolitik koşullar, her zaman siber tehdit ortamını etkiler ve yeni tehditlerin ortaya çıkmasına neden olur"

Açıklamada görüşlerine yer verilen Kaspersky Global Araştırma ve Analiz Ekibi (GReAT) Güvenlik Araştırmacısı Leonid Bezvershenko, "Jeopolitik koşullar, her zaman siber tehdit ortamını etkiler ve yeni tehditlerin ortaya çıkmasına neden olur. Bir süredir Rusya ve Ukrayna arasındaki çatışmayla bağlantılı faaliyetleri izliyoruz ve bu da en son keşiflerimizden biri. CommonMagic kampanyasında kullanılan kötü amaçlı yazılım ve teknikler fazla sofistike olmasa da komuta ve kontrol altyapısı olarak bulut depolamanın kullanılması dikkat çekici. Bu konu üzerindeki araştırmalarımıza devam edeceğiz ve umarım önümüzdeki günlerde bu kampanyayla ilgili daha fazla bilgi paylaşabileceğiz." ifadelerini kullandı.

Kaspersky araştırmacıları, bilinen veya bilinmeyen bir tehdit aktörünün hedefli saldırısının kurbanı olmamak için şu önlemlerin alınmasını öneriyor:

"SOC ekibinizin en son tehdit istihbaratına (TI) erişmesini sağlayın. Kaspersky Tehdit İstihbaratı Portalı, şirketin TI'sı için ortak bir erişim noktası sunar ve Kaspersky tarafından 20 yılı aşkın bir süredir toplanan siber saldırı verilerini ve içgörülerini sağlar. GReAT uzmanları tarafından geliştirilen Kaspersky çevrimiçi eğitimi ile siber güvenlik ekibinizi en son hedefli tehditlerle mücadele edecek şekilde geliştirin. Uç nokta düzeyinde tespit, tehdit araştırma ve olaylara zamanında müdahale için Kaspersky Endpoint Detection and Response gibi EDR çözümlerini kullanın.

Temel uç nokta korumasını benimsemenin yanı sıra Kaspersky Anti Targeted Attack Platform gibi gelişmiş tehditleri ağ düzeyinde erken aşamada tespit eden kurumsal düzeyde bir güvenlik çözümü kullanın. Birçok hedefli saldırı kimlik avı veya diğer sosyal mühendislik teknikleriyle başladığından ekibinize güvenlik farkındalığı eğitimi verin ve pratik beceriler edinmelerini sağlayın. Bunu örneğin, Kaspersky Otomatik Güvenlik Farkındalığı Platformu aracılığıyla yapabilirsiniz."