Endüstriyel kuruluşlar hem finansal kazanç hem de haber alma toplama açısından siber suçlular için en cazip hedeflerin başlangıcında geliyor. 2021 yılı Lazarus ve APT41 şeklinde tanınmış APT gruplarının endüstriyel kuruluşlara saldırdığına sahne oldu. Kaspersky uzmanları başka bir saldırı dizisini araştırırken, grubun savunma sanayisine karşı ThreatNeedle kampanyasında kullandığı hususi fena amaçlı yazılım olan ve Lazarus’un “Manuscrypt” ile bazı benzerliklere haiz yeni bir fena amaçlı yazılım parçasını ortaya çıkardı. Bundan dolayı yazılım PseudoManuscrypt olarak adlandırıldı.
20 Ocak- 10 Kasım 2021 tarihleri içinde Kaspersky ürünleri, 195 ülkede 35 binden fazla bilgisayarda PseudoManuscrypt’i engelledi. Hedeflerin bir çok, askeri-endüstriyel işletmeler ve araştırma laboratuvarları dahil olmak suretiyle endüstri ve devlet kuruluşlarıydı. Saldırıya uğrayan bilgisayarların %7,2’si endüstriyel denetim sistemlerinin (ICS) bir parçasıydı. Mühendislik ve bina otomasyonu en oldukca etkilenen bölümleri temsil ediyordu.
PseudoManuscrypt, başlangıçta bazıları ICS’ye hususi düzmece korsan yazılım yükleyici arşivleri vesilesiyle hedeflenen sisteme indiriliyor. Bu düzmece yükleyicilerin Hizmet Olarak Fena Amaçlı Yazılım (MaaS) platformu vesilesiyle sunulması olası. İlginç bir halde bazı durumlarda PseudoManuscrypt, fena bir üne haiz olan Glupteba botnet vesilesiyle kuruluyor. İlk bulaşmadan sonrasında ana fena amaçlı modülü indiren karmaşık bir enfeksiyon zinciri başlatılıyor. Kaspersky uzmanları bu modülün iki türünü belirledi. Her ikisi de tuş vuruşlarını günlüğe kaydetme, panodan veri kopyalama, VPN (ve potansiyel olarak RDP) kimlik doğrulama bilgilerini ve bağlantı verilerini çalma, ekran görüntülerini kopyalama dahil olmak suretiyle gelişmiş casusluk kabiliyetlerine haiz.
Saldırılar belirli endüstrilere dair bir tercih göstermiyor. Sadece saldırıya uğrayan oldukca sayıda mühendislik bilgisayarı, 3D ve fizyolojik modelleme ve dijital ikizler için kullanılan sistemler de dahil olmak suretiyle, endüstriyel casusluğun tek bir hedef olabileceğini gösteriyor.
Acayip bir halde kurbanlardan bazıları, ICS CERT’nin daha ilkin bildirdiği Lazarus kampanyasının kurbanlarıyla bağlantılı görünüyor. Veriler, daha ilkin yalnızca APT41’in fena amaçlı yazılımıyla kullanılan bir kitaplık yardımıyla ender bir protokol üstünden saldırganların sunucusuna gönderiliyor. Bununla beraber oldukca sayıda kurbanı ve odak eksikliğini göz önüne alarak, Kaspersky kampanyayı Lazarus yada malum herhangi bir APT tehdit aktörüyle ilişkilendirmiyor.
Kaspersky Güvenlik Uzmanı Vyacheslav Kopeytsev, şunları söylüyor: “Bu oldukça alışılmadık bir kampanya ve elimizdeki çeşitli detayları hala bir araya getiriyoruz. Sadece açık bir gerçek var: Bu, uzmanların dikkat etmesi ihtiyaç duyulan bir tehdit ve birçok yüksek profilli kurum da dahil olmak suretiyle binlerce ICS bilgisayarına girmeyi başardı. Güvenlik topluluğunu yeni bulgulardan haberdar ederek araştırmalarımızı sürdüreceğiz.”
ICS CERT’de PseudoManuscrypt kampanyası hakkında daha çok data edinebilirsiniz.
Kaspersky uzmanları, PseudoManuscrypt’ten korunmak için kuruluşlara şunları tavsiye ediyor:
- Tüm sunuculara ve iş istasyonlarına uç nokta koruma yazılımı yükleyin
- Tüm uç nokta koruma bileşenlerinin sistemlerde etkinleştirildiğini ve birinin yazılımı dönem dışı bırakmaya emek harcaması durumunda yönetici parolasının girilmesini gerektiren ilkelerin yürürlükte bulunduğunu deneyin.
- Active Directory ilkelerinin, kullananların sistemlerde oturum açma girişimlerine ilişkin engellemeler içerdiğini deneyin. Kullananların yalnızca işlerine dair sorumlulukları yerine getirmek için erişmeleri ihtiyaç duyulan sistemlere giriş yapmalarına izin verilmelidir.
- OT ağındaki sistemler içinde VPN dahil ağ bağlantılarını kısıtlayın. Operasyonların sürekliliği ve güvenliği için lüzumlu olmayan tüm bağlantı noktalarındaki bağlantıları bloke edin.
- Bir VPN bağlantısı kurarken ikinci kimlik doğrulama faktörü olarak akıllı kartlar (belirteçler) yada tek seferlik kodlar kullanın. Bunun uygulanabilir olduğu durumlarda, bir VPN bağlantısının başlatılabileceği IP adresleri listesini kısıtlamak için Erişim Denetim Sıralaması (ACL) teknolojisini kullanabilirsiniz.
- Kurum çalışanlarını web, e-posta ve öteki yazışma kanallarıyla güvenli bir halde emek harcama mevzusunda eğitin. Bilhassa doğrulanmamış kaynaklardan dosya indirmenin ve yürütmenin ihtimaller içinde neticelerini açıklayın.
- Mahalli yönetici ve tesir alanı yöneticisi ayrıcalıklarına haiz hesapları yalnızca iş sorumluluklarını yerine getirmek için lüzumlu olduğunda kullanın.
- Yüksek düzeyde data ve güvenlik uzmanlarının uzmanlığına hızla erişebilmek için Yönetilen Tehdit Idrak etme ve Cevap hizmetlerini kullanmayı düşünün.
- Atölyeleriniz için hususi koruma kullanın. Kaspersky Industrial CyberSecurity, endüstriyel uç noktaları korur ve fena niyetli etkinlikleri belirlemek ve engellemek için OT ağını izlemesini sağlar.