Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), 2024’ün ikinci çeyreğinde bazı tehdit aktörlerinin olağan düzenlerini koruduğunu, diğerlerinin araçlarını önemli ölçüde güncellediğini ve faaliyet kapsamını genişlettiğini gözlemledi.
Kaspersky telemetrisine göre çeşitli sektörleri hedef alan sofistike siber casusluk kampanyalarında bir artış yaşandı ve kamu, ordu, telekomünikasyon ve yargı sistemleri dünya çapında en fazla sayıda tehditle karşı karşıya kaldı. En son APT trend raporunun öne çıkan başlıkları şöyle:
Açık kaynaklı tehditlerin istismarı. Geçtiğimiz çeyreğin en önemli gelişmelerinden biri, popüler Linux dağıtımlarında yaygın olarak kullanılan açık kaynaklı bir sıkıştırma aracı olan XZ’nin arka kapısının çalınması oldu. Saldırganlar, yazılım geliştirme ortamında kalıcı erişim elde etmek için sosyal mühendislik tekniklerini kullandı. Kaspersky GReAT, bu tehdidin neden yıllarca tespit edilemediğini açıklayan birkaç ayrıntıyı da ortaya çıkardı. Buradaki önemli faktörlerden biri, saldırganların arka kapı iletişimlerinin yakalanmasını veya ele geçirilmesini önlemek için bir yineleme engelleme özelliği kullanmasıydı. Ayrıca, arka kapının şifresini çözmek için gereken açık anahtarı gizlemek için x86 kodu içinde özel bir steganografi tekniği kullandılar.
Hacktivist saldırılar. Hacktivist faaliyetler bu çeyrekte tehdit ortamının önemli bir unsuru oldu. Jeopolitik koşullar genellikle kötü niyetli eylemleri yönlendiren önemli bir unsur olurken, 2. çeyrekteki kayda değer saldırıların tümü aktif çatışma bölgeleriyle bağlantılı değildi. Bunun en iyi örneği Homeland Justice grubunun Arnavutluk’taki kuruluşlara yönelik saldırıları oldu. Saldırganlar 100 TB’ın üzerinde veriyi sızdırmayı, resmi web sitelerini ve e-posta hizmetlerini kesintiye uğratmayı, veritabanı sunucularını ve yedeklerini silmeyi başararak hedef aldıkları kuruluşlara büyük zarar verdi.
Araç setleri güncellemeleri. Kaspersky GReAT, bu dönemde saldırganların araç setlerini güncellemek için zaman ayırdığını gözlemledi. Bu durum 2023’ün başlarında tehdit aktörü GOFFEE, halihazırda izlenen kötü amaçlı bir IIS modülü olan Owawa’nın değiştirilmiş bir sürümünü kullanmaya başladığında keşfedildi. O zamandan beri GOFFEE hem Owawa’yı hem de PowerShell tabanlı RCE implantı VisualTaskel’i kullanmayı bıraktı. Ancak, daha önceki HTA tabanlı bulaşma zinciri olan PowerTaskel’den yararlanarak saldırılarına devam etti. Ayrıca GOFFEE, yasal bir belge kılığında gizlenen ve e-posta yoluyla dağıtılan yeni bir yükleyici sunarak araç setini genişletti ve hedefe sızma yeteneğini daha da geliştirdi.
