Kaspersky, MATA Araç Setini Kullanan Siber Casusluk Kampanyalarının Gelişmiş Taktiklerini Ortaya Çıkardı
Eylül 2022'nin başlarında, daha evvel Lazarus kümesiyle ilişkilendirilen MATA kümesiyle ilişkili yeni makûs emelli yazılım örnekleri tespit edilmişti. Bir düzinenin üzerinde Doğu Avrupa şirketini maksat alan bu kampanya Ağustos 2022 ortasından Mayıs 2023'e kadar devam etti. Saldırganlar, CVE-2021-26411 istismarını kullanan spear-phishing e-postaları ve web tarayıcıları aracılığıyla Windows çalıştırılabilir makus maksatlı yazılım indirmelerini kullanmıştı.MATA bulaşma zinciri, yükleyici, ana Truva atı ve kimlik hırsızlarını istismarlar, rootkitler ve hassas doğrulama süreçleriyle entegre eden karmaşık bir yapıya sahipti. Komuta ve Denetim (C&C) sunucuları olarak kullanılan dahili IP adresleri, saldırganların kurbanların altyapısına kendi denetim ve sızma sistemlerini yerleştirdiğini gösteren kıymetli bir keşfe karşılık geliyordu. Kaspersky, durumdan etkilenen kuruluşları derhal uyararak süratli bir biçimde müdahale edilmesini sağladı.Bir fabrikadaki kimlik avı e-postasıyla başlatılan atak, ağa sızarak ana şirketin tesir alanı denetleyicisini tehlikeye attı. Saldırganlar daha sonra güvenlik sistemlerine müdahale etmek için güvenlik açıklarından ve rootkitlerden faydalanarak iş istasyonları ve sunucular üzerinde denetim sahibi oldular. Bilhassa güvenlik tahlili panellerine erişerek, bilgi toplamak ve makûs emelli yazılımları yan kuruluşlara ve kurumsal tesir alanı altyapısına bağlı olmayan sistemlere dağıtmak için güvenlik açıklarından ve zayıf yapılandırmalardan yararlandılar.Kaspersky ICS CERT Kıdemli Güvenlik Araştırmacısı Vyacheslav Kopeytsev, şunları söyledi: "Sanayi bölümünü gayeli akınlardan korumak, sağlam siber güvenlik uygulamalarını proaktif bir zihniyetle birleştiren dikkatli bir yaklaşım gerektiriyor. Kaspersky'deki uzmanlarımız, yeni taktiklerini ve araçlarını tespit edebilmek için APT'nin gelişimini takip ediyor ve hareketlerini iddia ediyor. Siber güvenlik araştırmalarına olan bağlılığımız, kurumlara daima gelişen siber tehditler hakkında kritik bilgiler sağlama taahhüdümüzden kaynaklanıyor. Bahis hakkında bilgilendirilerek ve en son güvenlik tedbirlerini uygulayarak, işletmeler bu üzere saldırganlara karşı savunmalarını güçlendirebilirler ve ağlarını ve sistemlerini koruyabilirler." Diğer kayda bedel bulgular ortasında şunlar yer alıyor:
- Üç yeni MATA Berbat Maksatlı Yazılım Jenerasyonu - 3, 4 ve 5: Bunlar gelişmiş uzaktan denetim yetenekleri, modüler mimari ve esnek proxy sunucu zincirleri ile birlikte çeşitli protokoller için takviye sundu.
- Linux MATA Generation 3: Linux versiyonu, Windows muadili ile yeteneklerini paylaştı ve güvenlik tahlilleri aracılığıyla sunuldu.
- USB Yayılma Modülü: Dış dünyayla irtibatı olmayan ağlara sızmayı kolaylaştıran bu modül, bilhassa hassas bilgiler içeren sistemlerde çıkarılabilir medya aracılığıyla bilgi transferi yapıyordu.
- Veri Hırsızları: Bunlar, ekran imgeleri ve depolanan kimlik bilgileri üzere hassas bilgileri belli şartlara nazaran özelleştirerek ele geçirmek için kullanıldı.
- EDR/Güvenlik Bypass Araçları: Saldırganlar, ayrıcalıklarını artırmak ve uç nokta güvenlik eserlerini atlamak için genel istismarlardan yararlandı. Ayrıyeten, CVE-2021-40449 güvenlik açığı yamasının yüklü olduğu sistemlerde BYOD (Kendi Savunmasız Sürücünü Getir) tekniğini kullandı.
- En son MATA sürümleri, 5-eyes APT kümeleri tarafından kullanılanlara misal teknikleri kullandı. Bu nedenle atıf sürecinde birtakım sorular ortaya çıktı.
- SOC grubunuzun en yeni tehdit istihbaratına (TI) erişimini sağlayın. Kaspersky Threat Intelligence, şirketin tehdit istihbaratına ortak erişim noktasıdır ve Kaspersky tarafından 20 yılı aşkın bir müddettir toplanan siber atak bilgilerini ve içgörüleri sağlar.
- GReAT uzmanları tarafından geliştirilen Kaspersky çevrimiçi eğitimi ile siber güvenlik takımınızı en son maksatlı tehditlerle çaba edecek formda geliştirin
- Etkili güvenlik açığı idaresi sürecine temel olarak daima güvenlik açığı değerlendirmesi ve triyajının oluşturulmasında Kaspersky Industrial CyberSecurity üzere özel tahliller, tesirli bir yardımcı olarak kamuya açık olmayan eşsiz aksiyona geçirilebilir bilgi kaynağı haline gelebilir.
- Uç nokta seviyesinde tespit, araştırma ve olayların vaktinde düzeltilmesi için Kaspersky Endpoint Detection and Response üzere EDR tahlillerini kullanın.
- Temel uç nokta muhafazasını benimsemenin yanı sıra, Kaspersky Anti Targeted Attack Platform üzere gelişmiş tehditleri ağ seviyesinde erken kademede tespit eden kurumsal nitelikte bir güvenlik tahlili uygulayın
- Birçok maksatlı akın kimlik avı yahut öbür toplumsal mühendislik teknikleriyle başladığından, grubunuza güvenlik farkındalığı eğitimi verin ve pratik hünerlerini geliştirin. Örneğin, Kaspersky Otomatik Güvenlik Farkındalığı Platformu aracılığıyla bunu yapabilirsiniz.
- Ekibinizin, araçlarınızın ve süreçlerinizin tesisinizin atölye katında sofistike bir olay müdahalesine hazır olduğundan emin olmak için Kaspersky ICS CERT tarafından ICS'de Dijital İsimli Tıp ve Olay Müdahalesi üzere özel eğitimler almanızı öneririz.