Mirage Kitten grubunun yeni siber saldırı araç seti keşfedildi

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), Gelişmiş Kalıcı Tehdit (APT) grubu "Mirage Kitten" tarafından kullanılan yeni siber saldırı yazılım setini gün yüzüne çıkardı.

Şirket tarafından yapılan açıklamaya göre, yeni yazılım setinin tespitiyle ilgili detaylar, Kaspersky'nin Orta Doğu, Türkiye ve Afrika (META) bölgesine yönelik düzenlediği yıllık Siber Güvenlik Hafta Sonu etkinliğinde kamuoyuyla paylaşıldı.

Kaspersky araştırmacıları, söz konusu APT grubunun Orta Doğu ve Afrika genelinde çeşitli kurbanları hedef aldığını tespit etti. Bu hedef kitle arasında Mısır'daki kuruluşlar, Ürdün ve Tanzanya'daki küçük ve orta ölçekli işletmeler ile kamu kurumları, Pakistan'daki havacılık kuruluşları, Etiyopya'daki telekomünikasyon şirketleri ve Burkina Faso'daki finans sektörü kurumları yer alıyor.

Ortaya çıkarılan yeni siber saldırı araç seti, özel olarak geliştirilen üç programdan meydana geliyor. Bu araç setinin odağında, daha önce grupla ilişkilendirilen zararlı yazılımlarla kod yapısı ve davranış özellikleri bakımından benzerlikler taşıyan NightLedger adlı yeni keşfedilmiş bir Windows arka kapısı bulunuyor.

Tespit edilen bu benzerlikler doğrultusunda Mirage Kitten grubuna atfedilen NightLedger, saldırganların ele geçirilen sistemleri uzaktan kontrol etmesine, komut çalıştırmasına, dosyaları görüntüleyip aktarmasına ve ekran görüntüsü almasına zemin hazırlıyor.

NightLedger yazılımına ArcBridge ve BridgeHead isimli iki gizli tünelleme aracı eşlik ediyor. Ele geçirilen bilgisayarları birer ara düğüme dönüştüren bu yazılımlar, saldırganların kendi sunucularındaki araçlardan kaynaklanan trafiği kurbanın bilgisayarı üzerinden yönlendirmesini sağlıyor.

Bu sayede ağ trafiği, kurbanın kendi ağı içinden geliyormuş gibi görünürken saldırganlar da ağ güvenlik mekanizmalarını atlatarak uzun süre fark edilmeden erişimlerini sürdürmeye devam edebiliyor.

Söz konusu araçlardan ilki, nisan ayında Orta Doğu'daki kurbanları hedef alan saldırılar sırasında belirlendi. Saldırganların pek çok vakada sistemlere ilk erişimi nasıl sağladığı ise gizemini koruyor.

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT) araştırmacıları, BridgeHead aracının Mısır'daki kurbanlara ait sistemlerde ve Pakistan'daki bir havacılık ve uzay kuruluşunun altyapısında, sistemlerin ele geçirilmesinin ardından yürütülen faaliyetler kapsamında kullanıldığını saptadı.

Bu vakalarda sistemlere yönelik sızma girişimlerinin, grubun geçmişte başvurduğu yöntemlerle örtüşen hedefli kimlik avı saldırılarının peşinden gerçekleştiği belirlendi.

Saldırgan tarafın, güvenilir markaları ve işe alım platformlarını taklit eden işe alım odaklı mesajların yanı sıra kurbanları üçüncü taraf dosya paylaşım servislerinde barındırılan zararlı arşiv dosyalarına yönlendiren sahte video konferans sayfaları tercih ettiği görüldü.

Konuyla ilgili değerlendirmelerine yer verilen Kaspersky GReAT Kıdemli Güvenlik Araştırmacısı Omar Amin, "Son bulgularımız, Mirage Kitten'ın Orta Doğu ve Afrika genelindeki hedefli siber casusluk operasyonlarını desteklemek amacıyla zararlı yazılım cephaneliğini geliştirmeye devam ettiğini gösteriyor" ifadelerini kullandı.

Kampanyanın dikkat çeken bir diğer yönünün grubun tünelleme araçlarını operasyonel araç setinin bir parçası olarak kullanmayı sürdürmesi olduğunu vurgulayan Amin, "Bu yöntem, saldırganların ağ kontrollerini aşmasına, ele geçirilen ortamlara gizli erişimi sürdürmesine ve tespit edilmelerini önemli ölçüde zorlaştırmasına olanak tanıyor. Bu tekniklerin uzun süreli ve gelişmiş yapısı göz önünde bulundurulduğunda, kuruluşların ve siber güvenlik ekiplerinin söz konusu bulguları tehdit değerlendirmelerine dahil etmeleri ve tespit ile müdahale yetkinliklerini güçlendirmeleri gerekiyor" dedi.