Kimlik Avı Saldırısının Hedefi Hükümet Kurumu

ESET araştırmacıları, Guyana’da bir hükümet kurumuna karşı başlatılan siber casusluk saldırısı keşfetti. ESET tarafından Jakana Operasyonu ismi verilen bu operasyonun Çin kontaklı bir tehdit kümesi tarafından gerçekleştirildiği düşünülüyor. 

 

Saldırı sırasında operatörler, evraklara sızabilen, Windows kayıt defteri anahtarlarını değiştirebilen, komutları yürütebilen, komut ve denetim sunucusuna (C&C) gönderdiği bilgileri Küçük Şifreleme Algoritmasını kullanarak şifreleyen ve daha evvelden kayıt altına alınmamış DinodasRAT (Uzaktan Erişim Sağlayan Trojan) isimli bir art kapı kullandı.

 

Tehdit aktörleri, bilhassa seçtikleri kurbanları ikna etmek gayesiyle e-postalar hazırladığı için, bu gayeli bir atak olarak tanımlandı. Başlangıçta hudutlu sayıdaki aygıt setini DinodasRAT ile başarılı bir halde ele geçirdikten sonra, operatörler içeri girerek maksadın kurum içi ağını ihlal etti ve bu art kapıyı tekrar açtı. Bir saldırganın kurbanın bilgisayarında casusluk yapmasına ve hassas bilgileri toplamasına imkan tanıyan çeşitli yetenekleri var. Operasyon sırasında Korplug'un (aka PlugX) bir çeşidi üzere öbür makûs maksatlı araçlar da kullanıldı.

 

Korplug, Mustang Panda üzere Çin'e bağlı kümelerde yaygın olarak kullanılıyor. Kesin olmamakla birlikte, taarruzun Çin’e yakın bir tehdit aktörüyle kontaklı olduğuna inanılıyor. Bu atıf, Guyana-Çin diplomatik münasebetlerindeki son gelişmelerle de destekleniyor. Jakana Operasyonunun gerçekleştiği 2023 Şubat ayında, Guyana Özel Organize Kabahat Ünitesi, lokal Çin büyükelçiliği tarafından reddedilen bir harekette, Çinli şirketlerin dahil olduğu kara para aklama soruşturması kapsamında üç kişiyi tutukladı. 

 

Hedef odaklı kimlik avı e-postaları, son devir Guyana'daki kamu ve siyasi olaylara atıfta bulunarak, saldırganların, operasyonun muvaffakiyet mümkünlüğünü artırmak için kurbanlarının (jeo)politik faaliyetlerini takip ettiğini gösteriyor. Kurbanların “Vietnam'daki Guyanalı bir kaçak” ile ilgili haberlerle ilgisini çeken bir e-posta, gov.vn ile biten alan ismi taşıyordu. ESET araştırmacısı ve Jakana Operasyonunu keşfeden Fernando Tavella şunları söyledi, “Bu alan ismi Vietnam hükumetine ilişkin bir web sitesini gösteriyor; bu nedenle operatörlerin bir Vietnam devlet kurumunun güvenliğini ihlal ettiğine ve onun altyapısını makus maksatlı yazılım örneklerini barındırmak için kullandığına inanıyoruz. ESET araştırmacıları güvenliği ihlal edilen altyapı ile ilgili VNCERT’i bilgilendirdi.”

 

ESET araştırmacıları, Komuta ve Denetim sunucusuna gönderdiği kurban tanımlayıcı sayesinde DinodasRAT art kapısının ismini koyabildi. Dizi her vakit Din ile başlıyor, bu da bize J.R.R. Tolkien’in Yüzüklerin Efendisi yapıtındaki hobit Dinodas’ı hatırlattı. Öte yandan, gerdanlı jakanlar Guyana'ya has kuşlardır; ayaklarında büyük pençeler bulunur ve yaşadıkları göllerdeki yüzen bitkilerin üzerinde yürüyebilirler.

 

Kaynak: (BYZHA) Beyaz Haber Ajansı