Kaspersky: Kamusal İşletim Sistemine Yönelik Siber Saldırı

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bir Asya ülkesinde kamu kurumları tarafından kullanılan özelleştirilmiş bir Windows 10 sürümünü hedef alan siber saldırıyı gün yüzüne çıkardı. Saldırganların, daha önce bilinmeyen “NetamLoader” adlı kötü amaçlı yazılım altyapısını meşru yazılım bileşenlerinden yararlanarak devreye soktuğu belirtildi.

Söz konusu kötü amaçlı yazılım altyapısı, faaliyetlerini gizlerken arka planda ek zararlı kodları alıp çalıştırabiliyor. Kaspersky, tehdit izleme ağı üzerinden saldırının bir kurbanını tespit etmesine rağmen, saldırıyı bilinen herhangi bir tehdit grubuyla ilişkilendiremedi.

ÖZEL WINDOWS SÜRÜMÜNE YÖNELİK GELİŞTİRİLDİ

Zararlı yazılımın, hedef alınan işletim sistemine özel olarak geliştirildiği ve sistemin kendi güncelleme bileşenine ait günlük kayıtlarındaki belirli girdileri silme gibi işlemler gerçekleştirdiği belirlendi. Kaspersky’nin tehdide yönelik araştırması, şirketin bu yılın ilk yarısında Windows güncelleme klasöründeki bir arşiv dosyasında şüpheli bir yapılandırma dosyası tespit etmesiyle başladı.

Arşivde, üçüncü taraf yama yönetimi aracı Patch My PC yazılımının bileşenleri ve Microsoft tarafından imzalanmış bir modül de dahil olmak üzere çoğunluğu meşru yazılımlardan oluşan programlar yer alıyordu. Saldırganlar, değiştirilmiş yardımcı dosyalar aracılığıyla söz konusu yazılımların zararlı talimatları yüklemesini sağladı. Arşivin bulunduğu konum ve içeriği, saldırganların hedeflerine ulaşmak için yazılımların dağıtım veya güncelleme süreçlerini kötüye kullandığı olası bir yazılım tedarik zinciri saldırısına işaret ediyor. Ancak araştırmacılar, arşivin kurbanın sistemine nasıl ulaştığını gözlemleyemedi ve elde edilen bulgular, Patch My PC’nin veya yazılımın dağıtım sistemlerinin ele geçirildiğini göstermiyor.

NETAMLOADER’IN GİZLEME TAKTİKLERİ

NetamLoader, zararlı içeriğini birden fazla kodlama, sıkıştırma ve şifreleme katmanından geçirerek açığa çıkarıyor. Ardından yürütmeyi meşru bir Windows sürecine taşıyarak zararlı faaliyetin ilk programla ilişkilendirilmesini zorlaştırıyor. Zararlı yazılım çerçevesi ayrıca kötü amaçlı yazılım tarama işlevlerinden birine müdahale edebiliyor ve araştırmacıların saldırıyı yeniden oluşturmasına yardımcı olabilecek dosyaları siliyor.

NetamLoader etkinleştikten sonra, ek talimatlar ve yapılandırma değişiklikleri almak için saldırganların kontrolündeki bir sunucuyla iletişim kuruyor. Araştırmacıların incelediği yapılandırma dosyasında, ilk bağlantı kurulmadan önce 20 ila 40 dakikalık bir bekleme süresi bulunuyor. Sunucudan geçerli bir yanıt alınamazsa zararlı yazılım, yeniden denemeden önce 22 ila 28 saat bekliyor. Bu uzun gecikmeler nedeniyle kısa süreli izleme oturumlarında incelenebilecek ağ etkinliği çok sınırlı kalıyor.

TEKNOLOJİK EGEMENLİK VE GÜVENLİK RİSKLERİ

Açıklamada görüşlerine yer verilen Kaspersky GReAT APAC ve META Araştırma Merkezi Başkanı Sergey Lozhkin, teknolojik egemenliğin birçok hükümet için öncelikli konulardan biri haline geldiğini belirtti. Hükümetlerin kendilerine özel platformları kullanmalarının kontrol imkanı sağladığını vurgulayan Lozhkin, “Ancak bu, güncelleme kanallarından platformun dayandığı bakım araçlarına kadar tüm ekosistemin güvenliğini sağlamanız gerektiği anlamına da geliyor. Böyle bir ekosistemin olgunlaşması ise zaman alıyor. Bu vaka, savunma ekiplerinin yalnızca her bir programın meşru olup olmadığına değil, bileşenlerin birbiriyle nasıl etkileşim kurduğuna da bakması gerektiğini gösteriyor.” ifadelerini kullandı.

Kaynak: Mavi Marmara Gazetesi