Siber güvenlik şirketi ESET MoustachedBouncer ismi verilen yeni bir siber casusluk kümesi keşfetti. Casusluk kümesi ismini Belarus’taki varlığından alıyor ve idarenin çıkarları doğrultusunda hareket ediyor. Küme Belarus’taki yabancı büyükelçilikleri gaye alıyor.
Siber güvenlik şirketi ESET MoustachedBouncer ismi verilen yeni bir siber casusluk kümesi keşfetti. Casusluk kümesi ismini Belarus’taki varlığından alıyor ve idarenin çıkarları doğrultusunda hareket ediyor. Küme Belarus’taki yabancı büyükelçilikleri gaye alıyor.
2014’ten beri etkin olduğu belirtilen küme, Belarus’taki Avrupalılar dahil olmak üzere sırf yabancı büyük elçilikleri hedefliyor. 2020’den beri MoustachedBouncer, amaçlarına saldırmak için Belarus’ta ISP düzeyinde ortadaki düşman (AitM) ataklarını gerçekleştirebiliyor. Küme, ESET’in NightClub ve Disco olarak isimlendirdiği iki farklı araç seti kullanıyor.
ESET telemetrisine nazaran, küme Belarus’taki yabancı büyükelçilikleri gaye alıyor. İkisi Avrupa, biri Güney Asya ve biri Afrika’da olmak üzere elçilik işçisinin amaç alındığı dört ülke belirlendi. ESET, MoustachedBouncer’ın ve büyük olasılıkla Belarus’un çıkarlarının ortak olduğunu, bilhassa Belarus’taki yabancı büyükelçiliklere karşı casusluk konusunda uzmanlaştığını belirtiyor. MoustachedBouncer, Disco implantı için ISP seviyesinde ağ müdahalesi, NightClub implantı için e-postalar ve NightClub eklentilerinden birinde DNS dahil olmak üzere Komuta ve Denetim (C&C) bağlantıları için gelişmiş teknikler kullanıyor.
Seçilmiş maksatlara yönelik kullanılıyor
ESET Research, MoustachedBouncer’ı farklı bir küme olarak takip ederken; kümenin 2023 yılında Polonya ve Ukrayna dahil olmak üzere birçok Avrupa ülkesinin hükumet işçisini maksat alan diğer bir etkin casusluk kümesi olan Winter Vivern ile işbirliği yaptığına dair -ESET tarafından zayıf olarak değerlendirilen- ögeler bulundu. MoustachedBouncer operatörleri, maksatlarını tehlikeye atmak için kurbanlarının internet erişimine muhtemelen ISP düzeyinde müdahale ederek Windows’u bir tutsak portalın ardında olduğuna inandırıyor. Yeni tehdit kümesini keşfeden ESET araştırmacısı Matthieu Faou, “MoustachedBouncer tarafından hedeflenen IP aralıkları için, ağ trafiği görünüşte legal lakin düzmece bir Windows Update sayfasına yönlendiriliyor,” dedi. “Bu ortadaki düşman tekniği, tüm ülke genelinde değil fakat tahminen de yalnızca büyükelçilikler üzere seçilmiş birtakım kuruluşlara karşı kullanılıyor. Ortadaki düşman senaryosu, bize ISP düzeyinde yazılım indirenlere, indirme sırasında truva atı gönderen tehdit kümesi olan Çeşitle ve StrongPity’yi hatırlatıyor.”
Ses kaydı, ekran imgesi alabiliyor, ekran tuşlarını kaydedebiliyor
ESET Araştırmacısı, “Elçilik ağlarına ortadaki düşman (AitM) hücumları gerçekleştirmek için yönlendiricilerin ele geçirilmesi ihtimali göz arkası edilemezken, Belarus’ta yasal dinleme ögelerinin varlığı, trafiğin maksatların yönlendiricileri yerine ISP seviyesinde gerçekleştiğini gösteriyor,” halinde durumu açıkladı.
2014’ten bu yana MoustachedBouncer tarafından kullanılan makûs gayeli yazılım ailesi gelişti ve 2020’de kümenin ortadaki düşman akınlarını kullanmaya başlamasıyla büyük bir değişiklik oldu. MoustachedBouncer, iki implant ailesini paralel olarak çalıştırıyor lakin muhakkak bir makinede birebir anda sırf bir tanesi yerleştiriliyor. ESET, Disco’nun AitM hücumlarıyla irtibatlı olarak kullanıldığına inanırken NightClub, internet trafiğinin Belarus’un dışına yönlendirildiği uçtan uca şifreli bir VPN kullanımı üzere bir azaltma nedeniyle ISP seviyesinde trafik müdahalesinin mümkün olmadığı kurbanlar için kullanılır.
Faou, “Buradan alınması gereken bildiri, İnternetin muteber olmadığı yabancı ülkelerdeki kuruluşların, rastgele bir ağ inceleme aygıtını atlatmak için tüm İnternet trafiklerinde sağlam bir pozisyona yönlendiren uçtan uca şifreli bir VPN tüneli kullanmaları gerektiğidir. Tıpkı vakitte yüksek kaliteli, aktüel bilgisayar güvenliği yazılımı kullanmaları da gerekir.” dedi.
NightClub implantı, bilgileri sızdırmak için Çek web posta hizmeti Seznam.cz ve Rus Mail.ru web posta sağlayıcısı üzere fiyatsız e-posta hizmetlerini kullanıyor. ESET, saldırganların yasal e-posta hesaplarını tehlikeye atmak yerine kendi e-posta hesaplarını oluşturduklarına inanıyor. Tehdit kümesi, evrakları çalmaya ve harici olanlar da dahil şoförleri izlemeye odaklanıyor. NightClub implantının yapabildikleri ortasında ses kaydı, ekran imajı alma ve klavye tuş vuruşlarını kaydetmek yer alıyor.
Kaynak: (BYZHA) Beyaz Haber Ajansı
