Kaspersky, LinkedIn Üzerinden Yürütülen Sahte İşe Alım Saldırısını ve Yeni Platformlar Arası Casus Yazılımı Ortaya Çıkardı

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), Türkiye’nin de aralarında bulunduğu birçok ülkeyi etkileyen ve Mirage Kitten adlı gelişmiş kalıcı tehdit (APT) grubu tarafından yürütülen hedefli bir siber saldırı kampanyasını tespit etti. Grup; sahte LinkedIn işe alım mesajları aracılığıyla havacılık ve finansal teknoloji (fintek) sektörlerini hedef alan, Node.js ve JavaScript tabanlı, platformlar arası çalışabilen yeni casus yazılımlar kullanıyor. Kampanyanın ana odağında Orta Doğu ve Afrika bölgesindeki Mısır, Etiyopya ve Afganistan yer alsa da söz konusu saldırılarla bağlantılı zararlı yazılımlar Türkiye, Almanya, İsrail, Hindistan ve İrlanda gibi ülkelerde de tespit edildi. Bu gelişme, Kaspersky’nin Temmuz ayında kamuoyuyla paylaştığı, Mirage Kitten’a ait yeni Windows arka kapı keşfinin hemen ardından geldi.

Tuzak: LinkedIn’deki Sahte Teknoloji İşe Alım Uzmanları

Saldırı zinciri sosyal mühendislikle başlıyor. Saldırganlar LinkedIn üzerinden kendilerini büyük teknoloji şirketlerinde görev yapan yetenek kazanımı uzmanları olarak tanıtıyor ve havacılık ile finansal teknoloji sektörlerinde çalışan yazılım mühendisleriyle iletişime geçiyor. Adaylara teknik bir değerlendirmeye katılmaları teklif ediliyor ve meşru Amazon bulut depolama hizmetinde barındırılan bir “kodlama görevi”ni indirmeleri için bağlantı gönderiliyor. Aday üzerinde zaman baskısı kurmak amacıyla teste bir ila üç saatlik katı bir süre sınırı konuluyor. Adayların yapay zekâ destekli kod asistanlarını kullanmaları da özellikle yasaklanıyor; zira bu araçlar paketin içine gizlenmiş zararlı yazılımları kolaylıkla açığa çıkarabiliyor.

Geliştirici, kodlama testini iş istasyonuna indirip çalıştırdığı anda sızma süreci başlıyor. Yazılımcı sahte arayüz ve projeler üzerinde çalışmaya odaklanmışken, zararlı yazılım arka planda sessizce sisteme kuruluyor.

Saldırı yöntemleri değişiyor

Mirage Kitten daha önce C, C++ veya Go ile geliştirilen yerel programlara dayanıyor ve yalnızca Windows ortamlarını hedefliyordu. Grup, araç setini Node.js ve JavaScript kullanarak yeniden geliştirerek Windows, macOS ve Linux sistemlerini tek bir kod tabanı üzerinden aynı anda hedefleyebiliyor.

Kaspersky, bu kampanya kapsamında kurbana göre farklı şekillerde kullanılan iki yeni kötü amaçlı yazılım ailesi tespit etti. Bunlardan ilki NodeRabbit. Node.js tabanlı bu Uzaktan Erişim Truva Atı (RAT), yaygın kullanılan yazılım geliştirme paketlerinin içine gizleniyor ve saldırganlara ele geçirilen sistem üzerinde kapsamlı kontrol sağlıyor. Erişimini korumak için geliştiricilere yönelik gelişmiş kalıcılık yöntemlerinden yararlanan kötü amaçlı yazılım, Microsoft Visual Studio Code ile birlikte çalışacak şekilde sahte çalışma alanı eklentileri yükleyebiliyor veya geliştiricinin yerel kod depolarını değiştirerek proje kodu her kaydedildiğinde ya da birleştirildiğinde tehdidin otomatik olarak çalışmasını sağlayabiliyor.

İkinci kötü amaçlı yazılım olan PollCat ise JavaScript tabanlı bir Uzaktan Erişim Truva Atı (RAT). PollCat, adayların “işe alım uzmanı” tarafından sağlanan “tek kullanımlık parola”yı girerek teknik göreve erişmesini bekliyor. Ardından sistem bilgilerini topluyor, dizinleri tarıyor ve elde ettiği verileri saldırganlara gönderiyor.

Kaspersky GReAT Güvenlik Uzmanı Omar Amin konuya ilişkin değerlendirmesinde şunları aktardı: “Geleneksel, derlenmiş zararlı yazılımlardan JavaScript tabanlı tehditlere geçiş, Mirage Kitten’ın operasyonel taktiklerinde kritik bir dönüm noktasına işaret ediyor. Grup, işe alım süreçlerini suistimal ederek doğrudan geliştiricilerin günlük çalışma araçlarına kod enjekte etmek suretiyle kurumsal güvenlik sınırlarını fark edilmeden aşabiliyor. Yazılım geliştiricilerin şirket ağlarında genellikle yüksek erişim yetkilerine sahip olması, onları gelişmiş siber casusluk faaliyetleri için son derece kritik ve cazip bir hedef haline getiriyor.”

Kurumların Mirage Kitten ve benzeri gelişmiş kalıcı tehditlerden (APT) korunmak adına şu temel güvenlik adımlarını uygulamaları öneriliyor:

• Kapsamlı Koruma ve Görünürlük: Şirketinizi geniş yelpazedeki tehditlere karşı korumak için, her ölçekten ve sektörden kuruluşa gerçek zamanlı koruma, tehdit görünürlüğü, inceleme ile EDR ve XDR yanıt yetenekleri sunan Kaspersky Next  gibi kurumsal çözümlerden yararlanın. İhtiyaçlarınıza ve mevcut kaynaklarınıza uygun ürün paketini seçebilir; değişen siber güvenlik gereksinimlerinize göre paketler arasında kolayca geçiş yapabilirsiniz.
• Yönetilen Güvenlik Hizmetleri: Tehdit tespitinden sürekli koruma ve müdahaleye kadar tüm olay yönetimi döngüsünü kapsayan Kaspersky Compromise Assessment, Managed Detection and Response (MDR) veya Incident Response gibi yönetilen güvenlik servislerini devreye alın. Bu hizmetler, tespit edilmesi güç siber saldırılara karşı savunma sağlar, güvenlik olaylarını derinlemesine inceler ve şirket içi siber güvenlik iş gücü eksikliği durumunda uzman desteği sunar.
• Tehdit İstihbaratı: Bilgi güvenliği uzmanlarınıza kurumunuzu hedef alan tehditler üzerinde derinlemesine görünürlük kazandırın. Kaspersky Threat Intelligence, tüm olay yönetimi döngüsü boyunca zengin ve eyleme dönüştürülebilir bir bağlam sunarak siber risklerin zamanında tespit edilmesine olanak tanır.

Kaynak: (BYZHA) Beyaz Haber Ajansı