GReAT, Türkiye’nin de aralarında bulunduğu birçok ülkeyi etkileyen ve Mirage Kitten adlı gelişmiş kalıcı tehdit (APT) grubu tarafından yürütülen hedefli bir siber saldırı kampanyasını tespit etti. Grup; sahte LinkedIn işe alım mesajları aracılığıyla havacılık ve finansal teknoloji (fintek) sektörlerini hedef alan, Node.js ve JavaScript tabanlı, platformlar arası çalışabilen yeni casus yazılımlar kullanıyor.
Kampanyanın ana odağında Orta Doğu ve Afrika bölgesindeki Mısır, Etiyopya ve Afganistan yer alsa da söz konusu saldırılarla bağlantılı zararlı yazılımlar Türkiye, Almanya, İsrail, Hindistan ve İrlanda gibi ülkelerde de tespit edildi. Bu gelişme, Temmuz ayında kamuoyuyla paylaşıldı, Mirage Kitten’a ait yeni Windows arka kapı keşfinin hemen ardından geldi.
Tuzak: LinkedIn’deki Sahte Teknoloji İşe Alım Uzmanları
Saldırı zinciri sosyal mühendislikle başlıyor. Saldırganlar LinkedIn üzerinden kendilerini büyük teknoloji şirketlerinde görev yapan yetenek kazanımı uzmanları olarak tanıtıyor ve havacılık ile finansal teknoloji sektörlerinde çalışan yazılım mühendisleriyle iletişime geçiyor. Adaylara teknik bir değerlendirmeye katılmaları teklif ediliyor ve meşru Amazon bulut depolama hizmetinde barındırılan bir “kodlama görevi”ni indirmeleri için bağlantı gönderiliyor. Aday üzerinde zaman baskısı kurmak amacıyla teste bir ila üç saatlik katı bir süre sınırı konuluyor. Adayların yapay zekâ destekli kod asistanlarını kullanmaları da özellikle yasaklanıyor; zira bu araçlar paketin içine gizlenmiş zararlı yazılımları kolaylıkla açığa çıkarabiliyor.
Geliştirici, kodlama testini iş istasyonuna indirip çalıştırdığı anda sızma süreci başlıyor. Yazılımcı sahte arayüz ve projeler üzerinde çalışmaya odaklanmışken, zararlı yazılım arka planda sessizce sisteme kuruluyor.
Saldırı yöntemleri değişiyor
Mirage Kitten daha önce C, C++ veya Go ile geliştirilen yerel programlara dayanıyor ve yalnızca Windows ortamlarını hedefliyordu. Grup, araç setini Node.js ve JavaScript kullanarak yeniden geliştirerek Windows, macOS ve Linux sistemlerini tek bir kod tabanı üzerinden aynı anda hedefleyebiliyor.
Güvenlik uzmanları bu kampanya kapsamında kurbana göre farklı şekillerde kullanılan iki yeni kötü amaçlı yazılım ailesi tespit etti. Bunlardan ilki NodeRabbit. Node.js tabanlı bu Uzaktan Erişim Truva Atı (RAT), yaygın kullanılan yazılım geliştirme paketlerinin içine gizleniyor ve saldırganlara ele geçirilen sistem üzerinde kapsamlı kontrol sağlıyor. Erişimini korumak için geliştiricilere yönelik gelişmiş kalıcılık yöntemlerinden yararlanan kötü amaçlı yazılım, Microsoft Visual Studio Code ile birlikte çalışacak şekilde sahte çalışma alanı eklentileri yükleyebiliyor veya geliştiricinin yerel kod depolarını değiştirerek proje kodu her kaydedildiğinde ya da birleştirildiğinde tehdidin otomatik olarak çalışmasını sağlayabiliyor.
İkinci kötü amaçlı yazılım olan PollCat ise JavaScript tabanlı bir Uzaktan Erişim Truva Atı (RAT). PollCat, adayların “işe alım uzmanı” tarafından sağlanan “tek kullanımlık parola”yı girerek teknik göreve erişmesini bekliyor. Ardından sistem bilgilerini topluyor, dizinleri tarıyor ve elde ettiği verileri saldırganlara gönderiyor.
