Siber saldırganlar yeni ve eski teknikleri yaratıcılıklarıyla birleştiriyor
Birçok tehdit aktörü araç setlerini geliştirip çeşitlendirmeye devam ederken ve bazen de son derece özel ve kalıcı araçlara başvururken, diğerleri iyi bilinen, zaman içinde test edilmiş saldırı yöntemlerini kullanarak hedeflerine başarıyla ulaşıyor. Bu ve dünyanın farklı yerlerinden gelen diğer APT trendleri, Kaspersky’nin en son üç aylık tehdit istihbaratı raporunda ele alındı.
Kaspersky araştırmacıları, 2020 yılının 3. çeyreğinde tehdit aktörleri tarafından kullanılan genel yaklaşımda bir bölünme gözlemledi. Dünya çapında APT gruplarının taktiklerinde, tekniklerinde ve prosedürlerinde (TTP’ler) oldukça önemsiz bulaşma vektörleri ve araç setlerinin kullanıldığı etkili kampanyaların yanı sıra birçok gelişmeye de tanık olundu.
Geçtiğimiz çeyreğin en dikkate değer bulgularından biri, herhangi bir modern bilgisayar cihazının temel bir donanım bileşeni olan UEFI için özel bir önyükleme kiti kullanarak kurbanlardan birine bulaşmaya karar veren, bilinmeyen bir aktör tarafından yürütülen bir kampanyaydı. Bu enfeksiyon, MosaicRegressor adlı çok aşamalı bir bütünün parçasıydı. UEFI üzerinden bulaşması, cihaza yerleştirilen kötü amaçlı yazılımın son derece kalıcı olmasını sağladı ve kaldırılmasını son derece zor hale getirdi. Bunun da ötesinde, kötü amaçlı yazılım tarafından her kurbanın cihazına indirilen yük farklı olabiliyordu. Bu esnek yaklaşım, saldırganın yükünü daha iyi gizlemesini sağladı.
Diğer oyuncular stenografiden yararlandı. Windows Defender güvenlik çözümü için ayrılmaz ve onaylanmış bir program olan Authenticode imzalı Windows Defender ikili dosyasını kötüye kullanan yeni bir yöntem, Avrupa’da bir telekom şirketine yapılan saldırıda tespit edildi. Ke3chang ile ilişkilendirilen devam eden bir kampanya, Okrum arka kapısının yeni bir sürümünü kullandı. Okrum’un bu güncellenmiş sürümü, benzersiz bir yükleme tekniğiyle Authenticode imzalı bir Windows Defender ikili dosyasını kötüye kullanıyor. Saldırganlar, Defender yürütülebilir dosyasındaki ana yükü gizlemek için steganografi kullandı ve dijital imzayı geçerli kılarak tespit şansını azalttı.
Diğer birçok aktör de kendilerini daha esnek ve algılanmaya daha az eğilimli hale getirmek için araç setlerini güncellemeye devam ediyor. MuddyWater APT grubu tarafından geliştirilenler gibi çeşitli çok aşamalı çerçeveler vahşi ortamda görünmeye devam ediyor. Bu eğilim diğer kötü amaçlı yazılımlar için de geçerli. Örneğin, saldırganın daha fazla yük türü yürütmesini sağlayan yeni bir özellikle güncellenen Dtrack RAT (uzaktan erişim aracı) gibi.
Bununla birlikte, bazı oyuncular hala düşük teknolojili enfeksiyon zincirlerini başarıyla kullanıyor. Bir örnek, Kaspersky araştırmacıları tarafından DeathStalker olarak adlandırılan grup. Bu APT, esas olarak finans sektöründe faaliyet gösteren hukuk firmalarına ve şirketlere odaklanıyor ve mağdurlardan hassas ve değerli bilgiler topluyor. 2018’den beri çoğunlukla aynı olan teknikleri kullanarak tespitten kaçmaya odaklanmak, DeathStalker’ın bir dizi başarılı saldırı gerçekleştirmeye devam etmesini sağladı.
