GoldenJackal siber çetesi, diplomatik kurumları gözetliyor

Kaspersky, yeni bir siber kabahat kümesi keşfetti. GoldenJackal olarak isimlendirilen bu küme, 2019 yılından bu yana faal olmasına karşın kamuya açık bir profile sahip değil ve büyük ölçüde gizemini koruyor. Araştırmadan edinilen bilgilere nazaran küme ekseriyetle Orta Doğu ve Güney Asya'daki kamu ve diplomatik kuruluşları gaye alıyor.

Kaspersky, 2020 yılının ortalarında GoldenJakal kümesini izlemeye başladı. Bu küme, yetenekli ve orta seviyede gizlenme hünerine sahip bir tehdit aktörüne karşılık geliyor e dengeli bir faaliyet akışı sergiliyor. Kümenin temel özelliği, amaçlarının bilgisayarları ele geçirmek, çıkarılabilir şoförler aracılığıyla sistemler ortasında yayılmak ve muhakkak evrakları çalmak. Bu da tehdit aktörünün ana maksatlarının casusluk olduğunu gösteriyor.

Kaspersky'nin araştırmasına nazaran, tehdit aktörü akınları için birinci vektörler olarak geçersiz Skype yükleyicileri ve ziyanlı Word dokümanlarını kullanıyor. Geçersiz Skype yükleyicisi yaklaşık 400 MB boyutunda çalıştırılabilir bir evraktan oluşuyor ve içinde JackalControl Truva atı ve yasal bir Skype Kurumsal yükleyicisi yer alıyor. Bu aracın birinci kullanımı 2020 yılına kadar uzanıyor. Diğer bir bulaşma vektörü de Follina güvenlik açığından yararlanan, maksada yönelik bir HTML sayfasını indirmek için uzaktan şablon ekleme tekniğini kullanan makûs emelli bir dokümana dayanıyor.

Belge, "Gallery of Officers Who Have Received National and Foreign Awards.docx" ismini taşıyor ve Pakistan hükümeti tarafından ödüllendirilen subaylar hakkında bilgi talep eden legal bir genelgeymiş üzere görünüyor. Follina güvenlik açığına dair bilgi birinci olarak 29 Mayıs 2022'de paylaşıldı ve kelam konusu evrak kayıtlara nazaran açığın yayınlanmasından iki gün sonra, 1 Haziran'da değiştirildi. Doküman birinci olarak 2 Haziran'da tespit edildi. Yasal ve güvenliği ihlal edilmiş bir web sitesinden harici bir obje yükleyecek halde yapılandırılan doküman harici objeyi indirdikten sonra JackalControl Trojan berbat emelli yazılımını içeren çalıştırılabilir belge başlatılıyor.

JackalControl saldırısı, uzaktan denetim ediliyor!

JackalControl saldırısı, saldırganlara gaye makineyi uzaktan denetim etme imkanı sağlayan ana Truva atı olarak hizmet veriyor. Yıllar içinde, saldırganlar bu makûs gayeli yazılımın farklı varyantlarını dağıtıyor. Kimi varyantlar, kalıcılığını sürdürebilmek için ek kodlar içermekteyken, öbürleri ise sisteme bulaşmadan çalışabilecek halde yapılandırılıyor. Makineler ekseriyetle, toplu komut belgeleri üzere öteki bileşenler aracılığıyla enfekte ediliyor. 

GoldenJackal kümesi tarafından yaygın olarak kullanılan ikinci değerli araç JackalSteal ismini taşıyor. Bu araç çıkarılabilir USB şoförleri, uzak paylaşımlar ve hedeflenen sistemdeki tüm mantıksal şoförleri izlemek için kullanılabiliyor. Berbat gayeli yazılım standart bir süreç yahut hizmet olarak çalışabiliyor. Lakin kalıcılığını koruyamıyor ve bu nedenle öbür bir bileşen tarafından yüklenmesi gerekiyor.

Son olarak GoldenJackal, JackalWorm, JackalPerInfo ve JackalScreenWatcher üzere bir dizi ek araç kullanıyor. Bu araçlar Kaspersky araştırmacıları tarafından şahit olunan belli durumlarda kullanılıyor. Bu araç seti, kurbanların makinelerini denetim etmeyi, kimlik bilgilerini çalmayı, masaüstü ekran manzaralarını almayı amaçlıyor ve en son maksat olarak casusluğa meyilli olduğunu belirli ediyor.

Kaspersky Küresel Araştırma ve Tahlil Grubu (GReAT) Kıdemli Güvenlik Araştırmacısı Giampaolo Dedola, şunları söylüyor: "GoldenJackal, düşük profiliyle gözden uzak kalmaya çalışan farklı bir APT aktörü. Birinci olarak Haziran 2019'da faaliyete başlamasına karşın bilinmeyen kalmayı başardılar. Gelişmiş bir makûs maksatlı yazılım araç setine sahip olan bu aktör, Orta Doğu ve Güney Asya'daki kamu ve diplomatik kuruluşlara yönelik akınlarında epey üretken oldu. Makûs hedefli yazılım yerleştirmelerinin kimileri hala geliştirme kademesinde olduğundan, siber güvenlik takımlarının bu aktör tarafından gerçekleştirilebilecek muhtemel taarruzlara dikkat etmeleri çok kıymetli. Analizimizin GoldenJackal'ın faaliyetlerini önlemeye yardımcı olacağını umuyoruz."

GoldenJackal APT kümesi hakkındaki raporun tamamını Securelist'te okuyabilirsiniz.

Kaspersky araştırmacıları, bilinen yahut bilinmeyen bir tehdit aktörünün gayeli saldırısının kurbanı olmamanız için aşağıdaki tedbirlerin almanızı öneriyor:

• SOC grubunuzun en son tehdit istihbaratına (TI) erişmesini sağlayın. Kaspersky Tehdit İstihbaratı Portalı, şirketin tehdit istihbaratına ortak erişim noktasıdır ve Kaspersky tarafından 20 yılı aşkın bir müddettir toplanan siber atak bilgilerini ve içgörülerini sunar. 
• GReAT uzmanları tarafından geliştirilen Kaspersky çevrimiçi eğitimiyle siber güvenlik grubunuzu en son gayeli tehditlerle uğraş edecek yeteneklerle donatın.
• Uç nokta seviyesinde tespit, araştırma ve olayların vaktinde düzeltilmesi için Kaspersky Endpoint Detection and Response gibi EDR tahlillerini uygulayın.
• Temel uç nokta muhafazasını benimsemenin yanı sıra, Kaspersky Anti Targeted Attack Platform gibi ağ seviyesinde gelişmiş tehditleri erken etapta tespit eden kurumsal seviyede bir güvenlik tahlili kullanın.

Birçok amaçlı hücum kimlik avı yahut öbür toplumsal mühendislik teknikleriyle başladığından, takımınıza güvenlik farkındalığı eğitimi verin ve pratik maharetler kazandırın. Bunu Kaspersky Automated Security Awareness Platform aracılığıyla yapabilirsiniz.

 

Kaynak: (BYZHA) Beyaz Haber Ajansı