Yazılar

Kaspersky görülmemiş bir yöntemle hacklendi

kaspersky-gorulmemis-bir-yontemle-hacklendi Kaspersky görülmemiş bir yöntemle hacklendiDünyaca ünlü antivirus ve bilgi güvenliği yazılımları üreticisi Kaspersky şimdiye dek görülmemiş bir operasyonla hacklendi.

Kim olduğu bilinmeyen, Kaspersky iç ağına kadar sızan siber suçluların Duqu benzeri bir zararlı yazılım kullandıkları biliniyor. Kaspersky’nin araştırmalarında saldırının ileride derecede karmaşık olduğunu ve neredeyse görünmez biçimde gerçekleştirildiği ortaya çıktı. Yapılan incelemelerde bu tarz bir operasyonu yapmanın yönetim ve diğer kısımlar dikkate alındığında 10 milyon doların üzerinde bir maliyeti olduğu ortaya çıkıyor.

Saldırganlar iç ağa sızmak için sistemlerde üç ayrı zero day açığından faydalandılar. Dolayısıyla bu saldırılar sırasında bazı izler de bıraktılar. Zararlı yazılım Kaspersky iç ağında MSI (Microsoft Software Installer) kullanılarak dağıtıldı. MSI genellikle sistem yöneticileri tarafından Windows sistemlere uzaktan yazılım kurmak için kullanılıyor. Saldırı sonucu bazı izlere ulaşılsa da, saldırganlar ağ içerisinde hareket ederken hiçbir dosya bırakmayarak, ayar değiştirmedi. Bu da hack olayının tespitini oldukça zor hale getirdi.

Planlama, ileri düzeydeki teknik kapasite göz ealındığında 2011 yılındaki Duqu saldırısını yapan kişilerle aynı olduğu ortaya çıkıyor. Büyük ihtimalle bu zararlı yazılımın da üretilmesinde bir gizli servisin büyük payı var. Kaspersky uzmanlarınca ağlarındaki bu zararlının keşfi ise hayli ilginç. Uzmanlar yeni antivirus ürünlerini kendi ağlarında denerken bazı garipliklerle karşılaşıyorlar. Araştırma derinleştirildikçe kullanılan üç ayrı zero day açığının da yamaları tamamen yapılmış Microsoft sistemlerde kullanıldığını farkediliyor. Kaspersky’nin yaptığı açıklamaya göre saldırganlar sadece bilgi güvenliğiyle ilgili ar-ge çalışmalarının yapıldığı sunucular, satış pazarlama ve hukuk departmanlarını hedef aldı. Amaçlarının ise tam olarak ne olduğu bilinmiyor.

Regin ileri seviye casusluk yaparak devletlere veri topluyor

regin-ileri-seviye-casusluk-yaparak-devletlere-veri-topluyor Regin ileri seviye casusluk yaparak devletlere veri topluyorİleri seviye özelliklere sahip bir arka kapı zararlı yazılımı olan Regin siber casusluk operasyonu amaçlı devletlere ve altyapı sağlayıcılara karşı kullanılıyor.

Regin’in kodu incelendiğinde oldukça sofistike yöntemler kullanıldığı, teknik kapasite açısından nadir görülen kişiler tarafından yazıldığı belli oluyor. Benzerlik Flame, Duqu, Stuxnet gibi yine devletlerin hazırlayarak yaydıkları zararlı yazılımları akla getiriyor. Regin oldukça esnek bir yapıya sahip. Tek bir kişiden, tüm bir organizasyona kadar hedefi özelleştirmek mümkün. Böyle bir zararlı yazılımı tamamıyla yazmak yıllar gerektiriyor.

Tüm bu veriler ışında düşündüğümüz Regin’in bir devlet tarafından hazırlanarak farklı alanlardaki uluslararası hedeflerden veri toplama amacıyla dağıtıldığı. Regin kendini öyle iyi gizlemiş ki tüm prosesler katmanlara ayrılarak şifrelenmiş. Adeta domino taşları gibi her aşama kendini çözüp işini bitirdikten sonra bir sonraki şifreli aşamayı başlatıyor. Tüm aşamalar kontrol ediliyor ve tam bir bütünlük, başarım sağlanıyor. Bu da yıllarca zararlı yazılımın farkedilmesini engellemiş.

Regin çok sayıda yeteneğe sahip. Bulaştığı sistemde şifreleri çalma, ağ trafiğini izleme, ekran görüntüsü alma, mouse kontrol etme, silinen dosyaları geri getirme gibi işleri gerçekleştirebiliyor. Bazı modüller ise oldukça spesifik aksiyonlar için ayrılmış. Örneğin biri mobil telefon baz istasyonu cihazının trafiğini sniff ederken, bir diğeri IIS sunucusu trafiğini izlemek için yapılandırılmış. İşin ilginç tarafı Regin zararlı yazılım saldırısı ilk kez 2008 yılında ortaya çıktı ve faaliyetini uzunca bir süre farkedilmeden devam ettirdi.