Kaspersky araştırmacıları, 2021 yılının ortalarında ‘Volatile Cedar’ olarak da adlandırılan Orta Doğu kaynaklı Gelişmiş Kalıcı Tehdit (APT) grubu …
Kaspersky araştırmacıları, 2021 yılının ortalarında ‘Volatile Cedar’ olarak da adlandırılan Orta Doğu kaynaklı Gelişmiş Kalıcı Tehdit (APT) grubu DeftTorero tarafınca gerçekleştirilen yeni bir saldırı dalgası keşfetti. İlk kez 2012’de tespit edilen APT grubu özellikle Birleşik Arap Emirlikleri, Suudi Arabistan, Mısır, Kuveyt, Lübnan, Ürdün ayrıca Türkiye’de kamu, savunma, eğitim, kurumsal şirketler ayrıca telekomünikasyon sektörlerini hedef alıyor.
Volatile Cedar geçmişte hassas bilgileri toplamak için erişilebilir web sunucularına veya dahili sistemlere yerleştirilen Explosiayrıca adlı özel hazırlanmış bir uzaktan erişim Truva atı kullanıyordu. APT grubu gereksiz yere dikkat çekmemek için yalnızca seçilmiş bir avuç hedefe saldırmayı tercih ediyordu. Grup internete açık bir sunucunun kontrolünü ele geçirdiğinde, parola doldurma veya tekrardan kullanma gibi yöntemlerle çeşitli yollardan dahili ağa sızıyordu.
Kaspersky araştırmacıları, Lübnan kökenli olduğundan şüphelenilen Volatile Cedar’ı 2015’ten beri izliyor. Grup kendini sessize aldığından ayrıca 2021’e kadar yeni bir istihbarat veya izinsiz giriş bildirilmediğinden dolayı Kaspersky uzmanları, tehdit aktörünün TTP’lerinde olası bir değişiklikten şüpheleniyorlardı. Yani dosyasız kötü amaçlı yazılım kullandıklarını ayrıca böylece etkinliklerinin tespit edilmesini engellediklerini düşünüyorlardı.
Kaspersky araştırmasının da gösterdiği üzere Volatile Cedar, bir web kabuğu yüklemek için hedef web sunucusunda barındırılan bir dosya yükleme formundan ve/veya web uygulamasındaki komut enjeksiyonuna izin veren güvenlik açığından yararlanmış olabilir. Diğer durumlarda büyük olasılıkla sunucu yöneticileri tarafınca önceden yüklenen eklentilerden yararlanıldı ayrıca aynı kuruluştaki sistemlerden alınan sunucu kimlik bilgileri, kötü amaçlı komut dosyası veya web kabuğu dağıtmak için Uzak Masaüstü Protokolü aracılığıyla oturum açmak için kullanıldı. APT grubu, kötü amaçlı komut dosyasını yüklemenin bir yolunu bulduğunda, dahili sistemlere sızmak için ek araçlar bırakmaya odaklandı. Kaspersky’nin izinsiz giriş analizi, toplu olarak dağıtılan neredeyse tüm web kabuklarının bir GitHub hesabından kaynaklandığını ayrıca bunların ya olduğu gibi kullanıldığını, ya da biraz değiştirildiğini gösteriyor.
Kaspersky GReAT Kıdemli Güvenlik Araştırmacısı Ariel Jungheit, şunları söylüyor: “APT gruplarının yıllarca fark edilmeden kalmanın yaratıcı yollarını bulduğunu biliyoruz. DeftTorero geçmişte yüksek düzeyde bir teknolojik yeteneğe sahip olmasa da vakit şunu kanıtladı ki, açık kaynaklı araçlar, dosyasız saldırılar ayrıca araç modifikasyonu hala kurbanları başarılı bir şekilde tuzağa düşürmek için kullanılıyor. APT grubu arka kapıları kullanarak yalnızca hedefine giden ağ geçitlerini bulmakla kalmıyor, aynı zamanda diğer sunuculara bağlanmak için de bunları kullanabiliyor. Bu tür saldırılar hızla geliştiğinden ayrıca çoğu vakit fark edilemediğinden, erken aşamalarda hafifletilmeleri bir zorunluluktur. Bu nedenle kuruluşların herkese açık web uygulamalarından kaynaklanan güvenlik açıklarını ayrıca web uygulamalarının dosya bütünlüğünü sürekli olarak izlemelerini tavsiye ediyoruz.”
Kuruluşların APT gruplarının tuzağına düşmemesi için Kaspersky araştırmacıları şunları öneriyor: