Güneydoğu Asya'daki kurumları hedef alan APT grubu araçlarını zenginleştirdi

İSTANBUL (AA) – Kaspersky araştırmacıları, Güneydoğu Asya'da devlet kurumlarını hedef alan Cycldek adlı APT grubunun kullandığı güncel ve gelişmiş araçları ortaya çıkardı.

Kaspersky açıklamasına göre, Cycldek tehdit grubu ilk olarak 2013 yılında tespit edilmişti.

Özellikle Güneydoğu Asya'daki yüksek profilli hedeflere odaklanan grup, büyük kurumlara ve devlet kuruluşlarına saldırılar düzenledi.

Kaspersky araştırmacıları grubun Vietnam, Tayland ve Laos gibi birçok Güneydoğu Asya ülkesindeki devlet kuruluşlarını hedef alan siber casusluk faaliyetlerini 2018'den bu yana takip ediyor.

2018 sonrasında düzenlenen saldırıların çoğunda, siyasi içerikli bir RTF belgesi taşıyan kimlik avı e-postaları kullanılıyordu. Grup, NewCore RAT adlı zararlı yazılımı yüklemek için bu belgelerdeki bilinen açıklardan yararlanıyordu.

Bu zararlı yazılımın, gelişmiş veri hırsızlığı becerilerine sahip BlueCore ve RedCore adlı iki sürümü bulunuyor. BlueCore'un Vietnam’daki diplomatik kurumlara ve devlet kuruluşlarına yönelik saldırılarda kullanıldığı tespit edildi.

RedCore ise ilk olarak Vietnam'da kullanıldıktan sonra Laos'ta görüldü. Her iki sürüm de daha önceden bilinmeyen bir zararlı yazılım olan USBCulprit'i indiriyor.

– Veri çalma becerileri taşıyor

2014'ten beri aktif olan USBCulprit'in yeni sürümleri 2019'un sonlarına doğru çıktı.

Bu yazılım ağda hareket etme ve veri çalma becerileri taşıyor.

Yazılım bir kez kurulduğunda, içinde bulunduğu cihazdaki dizinleri tarayarak belirli uzantılara sahip belgeleri topluyor.

Ardından bu belgeler sisteme bağlı USB sürücülere aktarılıyor.

Bu da zararlı yazılımın aslen internete hiçbir şekilde bağlı olmayan makineler için tasarlandığını gösteriyor.

Genellikle bu cihazlar fiziksel olarak da dış dünyadan izole ediliyor.

Bu da buralardaki verileri almanın tek yolunun USB sürücüler gibi çıkarılabilir cihazlar olması anlamına geliyor.

USB bilgisayara bağlandığında zararlı yazılım otomatik olarak çalışmadığından bir insan tarafından yerinde kurulacak şekilde tasarlandığı düşünülüyor.

– 2013'ten beri faaliyetlerine aralıksız devam ediyor

USBCulprit belirli bir zaman aralığında son değiştirilen dosyalar gibi özel hedeflere odaklanma gibi geniş özelliklere sahip.

Zararlı yazılımın sonraki sürümleri, bağlı USB sürücülerdeki belirli isimde dosyaları da çalıştırabiliyor.

Genel olarak bu yazılım, gelişmiş yapısıyla bu grubun kullandığı araçlar arasında özel bir yer ediniyor.

Grup ayrıca özel bir arka kapı, çerez çalma aracı ve Chromium tabanlı sürücülerin veri tabanlarından parola çalma aracı gibi araçlar kullanıyor.

Açıklamada görüşlerine yer verilen GReAT Kıdemli Güvenlik Araştırmacısı Mark Lechtik, "Yaptığımız analizler, bu grubun daha önce düşünüldüğü gibi küçük ve gelişmemiş bir grup olduğu düşüncesinin yanlış olduğunu gösterdi. İlk raporların aksine grup aslen Güneydoğu Asya’da çok daha büyük bir etkiye ve çok daha gelişmiş bir araç kitine sahip.” ifadelerini kullandı.

GReAT Kıdemli Güvenlik Araştırmacısı Giampaolo Dedola da Cycledek'in Güneydoğu Asya'daki yüksek profilli hedeflere yönelik saldırılarının süreceğini tahmin ettiklerini belirterek, "Faaliyetlerine 2013'ten beri aralıksız devam eden grup yeni cephanesine yeni zararlı yazılımlar ekleyip yeni ülkeleri hedef alarak kendini geliştirmeye devam ediyor. Cycldek'in faaliyetlerini izlemeyi sürdüreceğiz." değerlendirmesinde bulundu.