Siber casuslukta yeni dönem

Siber güvenlik araştırmaları, devlet destekli olduğu iddia edilen siber casusluk faaliyetlerinin yeni bir boyuta ulaştığını ortaya koydu. Güvenlik şirketi ESET, Rusya ile ilişkilendirilen Sednit grubunun modern araçlarla yeniden faaliyete geçtiğini tespit etti.

Araştırmaya göre saldırılarda kullanılan yeni araç seti, BeardShell ve Covenant adlı iki gelişmiş implanttan oluşuyor. Bu çift sistemli yapı sayesinde saldırganlar hedef sistemlerde uzun süreli gizli erişim sağlayabiliyor.

Casusluk operasyonlarının merkezinde Ukrayna var

Analizlere göre söz konusu araçlar özellikle Ukrayna askeri personeline yönelik uzun vadeli gözetim faaliyetlerinde kullanılıyor. Nisan 2024’ten bu yana aktif olduğu belirtilen operasyonlar, farklı bulut servisleri üzerinden çalışan altyapı sayesinde izlenmesi zor bir yapıya sahip.

Siber güvenlik uzmanlarına göre bu yöntem, saldırganların sistemlerden veri toplamasını ve hedefleri uzun süre takip edebilmesini mümkün kılıyor.

Tuş vuruşlarını kaydeden casus yazılım

Araştırmanın başlangıç noktası ise 2024 yılında Ukrayna hükümetine ait bir bilgisayarda tespit edilen SlimAgent adlı casus yazılım oldu.

Bu yazılımın özellikleri arasında: Tuş vuruşlarını kaydetme, Ekran görüntüsü alma, Panodaki verileri toplama, gibi yetenekler bulunuyor.

ESET’in yaptığı analizler, SlimAgent benzeri kodların aslında 2018 yılında iki Avrupa ülkesindeki devlet kurumlarına yönelik saldırılarda da kullanıldığını ortaya koydu. Bu durum, söz konusu aracın daha eski bir saldırı altyapısının evrimleşmiş versiyonu olduğunu gösteriyor.

Bulut servisleri üzerinden gizli iletişim

Sednit’in yeni araçlarından biri olan BeardShell, PowerShell komutlarını çalıştırabilen gelişmiş bir implant olarak öne çıkıyor. Araç, meşru bir bulut depolama servisi olan Icedrive üzerinden komuta ve kontrol iletişimi kurabiliyor.

Bu yöntem sayesinde saldırılar, normal bulut trafiği gibi göründüğü için güvenlik sistemleri tarafından tespit edilmesi zor hale geliyor.

Yedek casusluk sistemi: Covenant

Operasyonlarda kullanılan ikinci önemli araç ise Covenant adlı açık kaynaklı bir saldırı platformu. Bu sistem:

veri sızdırma, hedef izleme, ağ içinde farklı sistemlere erişim gibi 90’dan fazla farklı görev gerçekleştirebiliyor.

Uzmanlara göre saldırganlar, Covenant’ın devre dışı kalması ihtimaline karşı BeardShell’i yedek sistem olarak kullanıyor.

Rus askeri istihbaratıyla bağlantı iddiası

Sednit grubu daha önce de uluslararası raporlarda Rus askeri istihbaratıyla ilişkilendirilmişti. United States Department of Justice, 2016 yılında grubun Rus ordusuna bağlı GRU Unit 26165 ile bağlantılı olduğunu açıklamıştı.