Asya-Pasifik (APAC) bölgesindeki devlet kurumları, sivil ve askeri kuruluşları hedef alan Çin bağlantılı Naikon APT grubu, son iki yılda Güneydoğu Asya‘daki askeri örgütleri hedef alan siber casusluk operasyonunda yeni bir arka kapı kullandı.
Grup tarafından hedef alınmış kuruluşlar, Filipinler de dahil olmak üzere Güney Çin Denizi, Malezya, Endonezya, Nepal, Laos, Vietnam, Myanmar, Kamboçya, Singapur ve Tayland gibi ülkelerde bulunmaktadır.
Naikon’un hedef aldığı devlet kurumları arasında dışişleri bakanlıkları, bilim ve teknoloji bakanlıklarının yanı sıra devlete ait şirketler de yer almaktadır.
Grubun amacı; ülkeler hakkında bilgi toplamak ve casusluk yapmaktır. Buradaki bilgi toplama ve casusluk yalnızca virüs bulaşmış bilgisayarlardan ve devlet daireleri içindeki ağlardan ulaşılabilecek belgeleri toplamayı amaçlamamaktadır. Asıl hedeflenen; çıkarılabilir sürücülerden veri almak, ekran görüntüleri almak, tuş kaydetmek ve çalınan verileri casusluk için toplamaktır. Eğer bu yeterli gelmiyorsa hassas devlet ağlarına erişerek çalınan verileri toplamak, aktarmak ve yönlendirmek için bakanlıklarda bulunan virüs bulaşmış sunucuları komuta ve kontrol altına almayı ve kullanmayı amaçlamaktadır.
Naikon, zararlı kodları çalıştırmak için DLL Injection yönteminden yararlanmaktadır, Bitdefender uzmanları SideLoading tekniklerini araştırırken, Naikon grubu ile ilişkili uzun süredir var olan bir kampanyayı da ortaya çıkarmışlardır.
Tehdit aktörleri tarafından istismar edilen onaylanmış yazılımlar şunlardır:
- ARO 2012 Tutorial 184.108.40.206
- VirusScan On-Demand Scan Task Properties (McAfee, Inc.)
- Sandboxie COM Services (BITS) 3.55.06 (SANDBOXIE L.T.D)
- Outlook Item Finder 11.0.5510 (Microsoft Corporation)
- Mobile Popup Application 16.00 (Quick Heal Technologies (P) Ltd.
Grup tarafından yapılmış önceki saldırıların aksine son saldırıda, etkilenmiş sistemlerin sürekliliğini kazanmak için ikinci bir arka kapı olan Nebulae kullandılar.
Bitdefender tarafından yayınlanan rapora göre: “Zararlı faaliyet Haziran 2019 ile Mart 2021 arasında yürütüldü. Saldırının ilk aşaması olarak Aria-Body yükleyicisi ve Nebulae kullandılar. Gözlemlerimize dayanarak, Eylül 2020’den itibaren RainyDay arka kapısını da kullanmaya başladılar..”
Zararlı yazılım, oturum açıldıktan sonra sistem yeniden başlatıldığında zararlı kodları otomatik olarak çalıştırmak için yeni kayıt ekleyerek kalıcılık kazanır.
Nebulae arka kapısı, LogicalDrive bilgilerini toplama, dosyaları ve klasörleri taşıma ve silme, komuta ve kontrol sunucusuna dosya yükleme ve sunucudan dosya indirme, cihazlardaki işlemleri listeleme, çalıştırma, sonlandırma süreçleri de dahil olmak üzere çeşitli yeteneklere sahiptir.
Bitdefender “Şu ana kadar edindiğimiz veriler, Nebulae’nın rolü hakkında neredeyse hiçbir şey anlatmıyor, ama süreklilik mekanizmasının kalıcılığı, olumsuz bir senaryo durumunda mağdura yedek erişim noktası olarak kullanıldığı anlamı gelebilirdi.” şeklinde sözlerine devam ediyor.
RainyDay arka kapısını, keşif yapmak, reverse proxy araçlarını ve tarayıcıları yüklemek, password dump araçlarını çalıştırmak, yanal hareketleri gerçekleştirmek ve kalıcılığı elde etmek için kullanıldı.
Risk Altında Mıyım?
Naikon, hedefleri avlayabilmek için onların ilgisini çekecek şekilde tasarlanmış e-posta ekleri ile kimlik avı tekniklerini kullanmaktadırlar. Bu ekler bir Word dosyası olarak görünebilir, fakat gerçekte çift uzantılı çalıştırılabilir bir dosyadır. APAC’da hükümet veya ordu için çalışıyorsanız, değerli bilgilere sahipseniz ve yüzlerce e-posta alıyor, okuyor ve ekleri açıyorsanız risk altındasınız.
Normal Tüketiciler Risk Altında Mı?
Naikon grubunun sıradan tüketicilere saldırdığı görülmemiştir, ancak grup tarafından kullanılan zararlı yazılım, Windows işletim sistemi çalıştıran ve e-posta kullanan herkese kolayca bulaşabilir. Temel olarak, Naikon APT’nin ilgilendiği bir kişiyle bağlantıdaysanız, hedef altında olabilirsiniz.
Kendimi Nasıl Koruyabilirim?
- Tanımadığınız kişilerin eklerini ve bağlantılarını açmayın.
- Ekten emin değilseniz, korumalı bir alanda açmayı deneyin.
- Tüm yamaların kurulu olduğundan ve işletim sisteminizin güncel bir sürüme sahip olduğundan emin olun.
- Güncel bir Antivirüs yazılımı kullanın.