Saldırının Kod Adı Sponsor

Siber güvenlik şirketi ESET, Ballistic Bobcat kümesi tarafından başlatılan ve Sponsor ismi verilen yeni bir atak keşfetti.   Kurbanlar başta İsrail olmak üzere Brezilya  ve Birleşik Arap Emirlikleri’nde yer alıyor.  Otomotiv, üretim, mühendislik, finansal hizmetler, medya, sıhhat, teknoloji ve telekomünikasyon şirketleri olmak üzere  en az 34 maksadın etkilendiği bildirilen Sponsor saldırısına Sponsoring Access ismi verildi. 

ESET Research tarafından APT35/APT42 (diğer isimleriyle Charming Kitten, TA453 ya da PHOSPHORUS) olarak izlenen Ballistic Bobcat; eğitim, hükumet ve sıhhat kuruluşlarının yanı sıra insan hakları aktivistleri ve gazetecileri de maksat alan, muhtemelen İran kontaklı, ileri seviye ve kalıcı bir tehdit kümesi. Kümenin en etkin olduğu bölgeler İsrail, Orta Doğu ve Amerika Birleşik Devletleri. Hedefi siber casusluk olan kümenin 34 kurbanının büyük kısmı İsrail’de, yalnızca ikisi Brezilya ve BAE’de bulunuyor. İsrail’de otomotiv, üretim, mühendislik, finansal hizmetler, medya, sıhhat, teknoloji ve telekomünikasyon şirketleri atağa uğradı.

Sponsoring Access isimli yeni keşfedilen taarruzun 34 kurbanından 16’sı için Ballistic Bobcat sistemlerine erişimi olan tek tehdit aktörü olmadığı görülüyor. Kurbanların çok çeşitli olması ve kimi kurbanların istihbarat bedelinin çok düşük olması nedeniyle, Ballistic Bobcat’in evvelce seçilmiş kurbanlara karşı amaçlı bir hücum düzenlemek yerine tarama ve yararlanma davranışı sergilediği düşünülebilir. Bu nedenle Ballistic Bobcat, internete açık Microsoft Exchange sunucularındaki yamalanmamış güvenlik açıklarıyla fırsat amaçlarını aramaya devam ediyor. 

Sponsor art kapısını bulan ve en son Ballistic Bobcat saldırısını tahlil eden ESET araştırmacısı Adam Burgher şunları söyledi: “Grup, yeni keşfedilen Sponsor art kapısı üzere kimi özel uygulamalarla desteklediği çeşitli ve açık kaynaklı bir araç seti kullanmaya devam ediyor. Savunma tarafında sağlayıcılara, internete açık tüm aygıtlara yama yapmaları ve kuruluşlarında ortaya çıkan yeni uygulamalara karşı tetikte olmalarını tavsiye ediyoruz.”

Sponsor art kapısı, diskte depolanan yapılandırma belgelerini kullanıyor. Bu belgeler, yığın evrakları tarafından gizlice dağıtılıyor ve tarama motorları tarafından tespit edilmemesi için kasıtlı olarak zararsız görünecek formda tasarlanıyor. Ballistic Bobcat yeni art kapıyı, CISA Alert AA21-321A’da belgelenen saldırısını ve PowerLess saldırısını tamamladığı Eylül 2021’de dağıtmaya başladı.

Pandemi sırasında Ballistic Bobcat, Dünya Sıhhat Örgütü ve Gilead Pharmaceuticals üzere COVID-19 ile ilgili kuruluşları ve tıbbi araştırma işçisini hedefliyordu.

Kaynak: (BYZHA) Beyaz Haber Ajansı