Siber askerler ”Icefog”
Kurumsal alanda uç nokta koruma çözümlerinde lider şirket Kaspersky Lab güvenlik ekibi, Güney Kore ve Japonya’daki hedeflere yoğunlaşan ve buradaki Batılı şirketlerin tedarik zincirlerini vuran “Icefog” adlı küçük ancak dinamik bir APT (Advanced Persistent Threat-Gelişmiş Siber Silahlar) grubuyla ilgili yeni bir araştırma belgesi yayımladı.
2011’de operasyona başlayan ve son birkaç yılda boyutları ve kapsamı genişleyen Icefog ile ilgili açıklama yapan Global Araştırma ve Analiz Ekibi Direktörü Costin Raiu, “Son birkaç yılda benzer sektörlerden hemen hemen aynı türde kurbanları vuran bir dizi APT’nin varlığını keşfettik. Saldırganlar çoğunlukla kurumsal ve devlet ağlarında belirli noktalara tutunuyor ve terabyte’larla ifade dilebilecek miktarda önemli bilgiyi kaçırıyor” dedi. Icefog saldırılarının ‘vur-kaç’ niteliği yeni bir trendin oluştuğunu gösterdiğini de ekleyen Raiu sözlerini şu şekilde sürdürdü: “Bunlar, hedefe yönelik bir şekilde bilginin peşine düşen küçük vur-kaç çeteleri. Saldırı genellikle birkaç gün veya bir hafta sürüyor. Aradıklarına ulaştıktan sonra saldırganlar gerekli temizlikleri yapıp gidiyor. Gelecekte bu küçük, hedefe odaklanmış ‘kiralık APT’ gruplarının sayısının artacağını, vur-kaç tarzı operasyonlarda uzmanlaşacaklarını, bu ekiplerin modern dünyanın bir tür ‘siber paralı askerleri’ olarak değerlendirilebileceğini düşünüyoruz.”
Icefog ile ilgili başlıca bulgular:
- Belirlenen hedeflerin niteliğine göre saldırganların ilgilendikleri sektörler şu şekilde sıralanıyor: Donanma, gemi inşa ve denizcilik operasyonları, bilgisayar ve yazılım geliştirme, araştırma şirketleri, telekom operatörleri, uydu operatörleri, medya ve televizyon.
- Araştırmanın gösterdiğine göre saldırganlar Lig Nex1 ve Selectron Industrial Company gibi savunma sanayi yüklenicilerini, DSME Tech gibi gemi inşa şirketlerini, Hanjin Heavy Industries’i, Korea Telecom gibi telekom operatörlerini, Fuji TV gibi medya şirketlerini ve Japan-China Economic Association’ı hedefe aldılar.
- Saldırganlar önemli belgelerin yanı sıra şirket planlarını, kurbanın ağının içinde ve dışında çeşitli kaynaklara ulaşmak amacıyla e-posta hesap bilgilerini ve parolaları çalıyor.
- Operasyon sırasında saldırganlar “Icefog” arka kapı ayarını kullanıyor (“Fucobha” olarak da biliniyor. Kaspersky Lab, Icefog’un Microsoft Windows ve Mac OS X için çeşitli versiyonları bulunduğunu belirlemiştir.
- Birçok APT kampanyasında kurbanlar aylarca, hatta yıllarca etki altında kalmakta, saldırganlar veri çalmaya devam etmekte ve Icefog operatörleri kurbanlar üzerinde teker teker çalışarak yalnızca hedefe yönelik belirli verileri bulmakta ve kopyalamaktadır. İstenen bilgilere ulaştıktan sonra ayrılmaktadırlar.
- Icefog operatörleri çoğunlukla kurbanlardan ne istediklerini çok iyi biliyor. Kolayca belirlenebilen ve C&C’ye aktarılabilen belirli dosya adlarını aradıkları tespit edildi.
ARKA PLANDA ASYA ÜLKELERİ VAR
Kaspersky Lab araştırmacıları, saldırganlar tarafından kullanılan 70’ten fazla ana alandan 13’üne ulaştı. Bu, dünya çapında kurban sayısına dair bazı istatistikler sağlıyor. Icefog komutu ve kontrol sunucuları kurbanlarının yanı sıra üzerlerinde gerçekleştirilen işlemlerin şifreli kayıtlarını tutuyor. Bu kayıtlar bazı durumlarda saldırıların hedeflerinin, hatta bazen kurbanların belirlenmesine yardımcı oluyor. Japonya ve Güney Kore’nin yanı sıra Tayvan, Hong Kong, Çin, ABD, Avustralya, Kanada, İngiltere, İtalya, Almanya, Avusturya, Singapur, Belarus ve Malezya’da dahil bazı başka ülkelerde de bağlantılar belirlenmiş durumda. Kaspersky Lab toplamda 4.000’den fazla etkilenmiş IP ve birkaç yüz kurbanı belirledi.
Altyapıyı izlemek ve kontrol etmek için kullanılan IP’lere bakarak Kaspersky Lab uzmanları, bu operasyonun arkasında yer alan oyuncuların en az şu üç ülkede bulunduğunu varsayıyor: Çin, Güney Kore ve Japonya.
Kaspersky Lab ürünleri Icefog zararlı yazılımının tüm varyantlarını belirlemekte ve engellemektedir. Arka kapılar, diğer zararlı araçlar ve istatistiklerle birlikte risk göstergelerine dair ayrıntılı açıklamalar içeren raporun tamamını okumak için bkz. Securelist. Eksiksiz bir Icefog SSS bölümü de bulunmaktadır.
Yarcan Tüner
