Kimlik Avı Saldırısının Hedefi Hükümet Kurumu

ESET araştırmacıları, Guyana’da bir hükümet kurumuna karşı başlatılan siber casusluk saldırısı keşfetti. ESET tarafından Jakana Operasyonu adı verilen bu operasyonun Çin bağlantılı bir tehdit grubu tarafından gerçekleştirildiği düşünülüyor. 

 

Saldırı sırasında operatörler, dosyalara sızabilen, Windows kayıt defteri anahtarlarını değiştirebilen, komutları yürütebilen, komut ve kontrol sunucusuna (C&C) gönderdiği bilgileri Küçük Şifreleme Algoritmasını kullanarak şifreleyen ve daha önceden kayıt altına alınmamış DinodasRAT (Uzaktan Erişim Sağlayan Trojan) adlı bir arka kapı kullandı.

 

Tehdit aktörleri, özellikle seçtikleri kurbanları ikna etmek amacıyla e-postalar hazırladığı için, bu hedefli bir saldırı olarak tanımlandı. Başlangıçta sınırlı sayıdaki cihaz setini DinodasRAT ile başarılı bir şekilde ele geçirdikten sonra, operatörler içeri girerek hedefin kurum içi ağını ihlal etti ve bu arka kapıyı yeniden açtı. Bir saldırganın kurbanın bilgisayarında casusluk yapmasına ve hassas bilgileri toplamasına olanak tanıyan çeşitli yetenekleri var. Operasyon sırasında Korplug'un (aka PlugX) bir çeşidi gibi diğer kötü amaçlı araçlar da kullanıldı.

 

Korplug, Mustang Panda gibi Çin'e bağlı gruplarda yaygın olarak kullanılıyor. Kesin olmamakla birlikte, saldırının Çin’e yakın bir tehdit aktörüyle bağlantılı olduğuna inanılıyor. Bu atıf, Guyana-Çin diplomatik ilişkilerindeki son gelişmelerle de destekleniyor. Jakana Operasyonunun gerçekleştiği 2023 Şubat ayında, Guyana Özel Organize Suç Birimi, yerel Çin büyükelçiliği tarafından reddedilen bir eylemde, Çinli şirketlerin dahil olduğu kara para aklama soruşturması kapsamında üç kişiyi tutukladı. 

 

Hedef odaklı kimlik avı e-postaları, son dönem Guyana'daki kamu ve siyasi olaylara atıfta bulunarak, saldırganların, operasyonun başarı olasılığını artırmak için kurbanlarının (jeo)politik faaliyetlerini takip ettiğini gösteriyor. Kurbanların “Vietnam'daki Guyanalı bir kaçak” ile ilgili haberlerle ilgisini çeken bir e-posta, gov.vn ile biten alan adı taşıyordu. ESET araştırmacısı ve Jakana Operasyonunu keşfeden Fernando Tavella şunları söyledi, “Bu alan adı Vietnam hükumetine ait bir web sitesini gösteriyor; bu nedenle operatörlerin bir Vietnam devlet kurumunun güvenliğini ihlal ettiğine ve onun altyapısını kötü amaçlı yazılım örneklerini barındırmak için kullandığına inanıyoruz. ESET araştırmacıları güvenliği ihlal edilen altyapı ile ilgili VNCERT’i bilgilendirdi.”

 

ESET araştırmacıları, Komuta ve Kontrol sunucusuna gönderdiği kurban tanımlayıcı sayesinde DinodasRAT arka kapısının adını koyabildi. Dizi her zaman Din ile başlıyor, bu da bize J.R.R. Tolkien’in Yüzüklerin Efendisi eserindeki hobit Dinodas’ı hatırlattı. Öte yandan, gerdanlı jakanlar Guyana'ya özgü kuşlardır; ayaklarında büyük pençeler bulunur ve yaşadıkları göllerdeki yüzen bitkilerin üzerinde yürüyebilirler.

 

Kaynak: (BYZHA) Beyaz Haber Ajansı