TEHDİT AKTÖRLERİ DÜNYANIN DÖRT YANINDA

Siber  güvenlik şirketi ESET, Ekim 2022’den Mart 2023 sonuna kadar ESET araştırmacıları tarafından izlenen, araştırılan ve analiz edilen gelişmiş kalıcı  tehdit (APT) gruplarının etkinliklerini özetleyen APT Faaliyet Raporunu yayımladı.

6 aylık dönemler halinde yayımlanan rapor bu dönemde, Ke3chang ve Mustang Panda gibi Çin bağlantılı tehdit aktörleri Avrupa şirketlerine odaklandı. İsrail’de, İran bağlantılı grup, OilRig, yeni bir özel arka kapı dağıttı. Kuzey Kore ile bağlantılı gruplar, Güney Kore’deki ve Güney Kore ile ilgili şirketlere odaklanmaya devam etti. Rusya ile bağlantılı APT grupları özellikle Ukrayna ve AB ülkelerinde aktifti. Sandworm, siliciler yerleştirdi.

ESET APT Faaliyet Raporunda belirtilen kötü amaçlı faaliyetler, ESET teknolojisi tarafından algılanıyor. ESET Tehdit Araştırma Yöneticisi Jean-Ian Boutin bu konuda şunları söyledi: “ESET ürünleri, müşterilerimizin sistemlerini bu raporda belirtilen kötü amaçlı faaliyetlere karşı koruyor. Burada paylaşılan istihbarat çoğunlukla tescilli ESET telemetrisine dayanıyor ve ESET Research tarafından doğrulanmıştır.”

Çin bağlantılı Ke3chang, yeni bir Ketrican varyantının dağıtılması gibi yöntemlere başvururken Mustang Panda iki yeni arka kapı kullandı. MirrorFace, Japonyayı hedef aldı ve yeni kötü amaçlı yazılım dağıtım yaklaşımları uygularken, ChattyGoblin Operasyonu destek temsilcilerini hedef alarak Filipinler'deki bir kumar şirketini ele geçirdi. Hindistan'a bağlı gruplar SideWinder ve Donot Team, Güney Asya'daki hükumet kurumlarını hedef almaya devam ederken, SideWinder Çin’deki eğitim sektörünü hedef aldı ve Donot Team, kötü üne sahip yty çerçevesini geliştirmeye devam etti ancak aynı zamanda piyasadaki Remcos RAT'ı da devreye aldı. Ayrıca ESET, Güney Asya'da çok sayıda Zimbra web postası kimlik avı girişimi tespit etti. 

Kuzey Kore bağlantılı bir grup olan Lazarus, Boeing içeriğine sahip sahte bir iş teklifiyle Polonya'daki bir savunma şirketinin çalışanlarını hedeflemenin yanı sıra, Accenture içerikli bir yem kullanarak her zamanki hedeflerinden farklı olarak Hindistan'daki bir veri yönetimi şirketine odaklandı. Ayrıca ESET, kampanyalarından birinde kullandıkları bir Linux kötü amaçlı yazılımını da belirledi. Bu yeni keşfedilen kötü amaçlı yazılımıyla benzerlikler, 3CX tedarik zinciri saldırısının arkasında kötü bir üne sahip Kuzey Kore bağlantılı grubun olduğu teorisini destekliyor.

Rusya ile bağlantılı APT grupları özellikle Ukrayna ve AB ülkelerinde aktifti. Bu gruplar, silici yerleştiren Sandworm’un (SwiftSlicer olarak ESET’in adlandırdığı yeni bir tane daha) yanı sıra Gamaredon, Sednit ve hedefe yönelik kimlik avı e-postaları gönderen Dukes kullandı. Bunun bir örneğine Dukes’da olduğu gibi Brute Ratel olarak bilinen kırmızı ekip implantının uygulanmasında rastlıyoruz. Son olarak, ESET daha önce bahsettiğimiz Zimbra e-posta platformunun özellikle Avrupa'da aktif bir grup olan Winter Vivern tarafından da suistimal edildiğini tespit etti ve hedefe yönelik kimlik avı e-postaları ile Orta Asya ülkelerinin hükumet üyelerini hedef alan SturgeonPhisher grubunun faaliyetlerinde önemli bir azalma kaydetti. Bu tespitten sonra ESET, grubun kendini yenileme durumuna geçtiğini düşünüyor.