Google'ın Tehdit Analiz Grubu (TAG), North Kore Eyalet bilgisayar korsanlarının, açıklanmayan popüler bir yazılımda en az bir sıfır gün kullanarak saldırılarda güvenlik araştırmacılarını tekrar hedeflediklerini söylüyor.
Google'ın şirketin kullanıcılarını devlet destekli saldırılardan koruyan güvenlik uzmanları ekibine göre, bu kampanyada saldırıya uğrayan araştırmacılar güvenlik açığı araştırma ve geliştirmede yer alıyor.
Google, muhtemelen bu saldırılarda ve savunmasız yazılımın adını kullanan sıfır gün kusuruyla ilgili ayrıntıları henüz açıklamamıştır, çünkü satıcı hala kırılganlığı yamalama sürecinde.
Google Tag'den Clement Lecigne ve Maddie Stone, "Tag, son birkaç hafta içinde güvenlik araştırmacılarını hedeflemek için en az bir aktif olarak sömürülen 0 günlük kullanıldığının farkında." Dedi.
Diyerek şöyle devam etti: "Güvenlik açığı etkilenen satıcıya bildirildi ve yamalanma sürecindedir."
Saldırganlar, hedeflenen güvenlik araştırmacılarını sinyal, tel veya whatsapp gibi şifreli mesajlaşma platformlarına geçmeye yönlendirmek için Twitter ve Mastodon sosyal medyasını kullanıyor.
Bir ilişki kurduktan ve iletişim kanallarını güvenli hale getirdikten sonra, saldırganlar onlara sıfır günden yararlanmak için tasarlanmış kötü amaçlı dosyalar gönderir.
Araştırmacıların sistemlerine dağıtılan kabuk kodu yükü, sanal bir makinede çalışıp çalışmadığını kontrol eder ve ardından toplanan bilgileri (ekran görüntüleri dahil) saldırganların komutuna ve kontrol sunucularına gönderir.
Ayrıca, yalnızca Microsoft, Google, Mozilla ve Citrix hata ayıklama sembollerini indirmeye yardımcı olacak, ancak bunun yerine keyfi kodun indirilmesine ve yürütülmesine izin veren ters mühendisler için açık kaynaklı GetSymbol aracını kullanırlar.
Lecigne ve Stone, "Bu aracı indirdiyse veya çalıştırdıysanız, TAG, sisteminizin bilinen temiz bir durumda olduğundan emin olmak için önlem almanızı önerir ve muhtemelen işletim sisteminin yeniden yüklenmesini gerektirir."
Bu kampanya, Ocak 2021'de, muhtemelen aynı aktörler tarafından düzenlenen ilk temas vektörü olarak LinkedIn, Telegram, Discord ve KeyBase gibi Twitter ve diğer sosyal medya platformlarını da kullanan bir kampanyaya benzer.
Bu saldırılarda, Kuzey Kore tehdit aktörleri, güvenlik araştırmacılarının arka plan ve bilgi verilen kötü amaçlı yazılımlarla tamamen yamalı Windows 10 sistemlerini enfekte etmek için sıfır günleri kullandılar.
Microsoft ayrıca Ocak 2021 saldırılarını izlediğini ve Lazarus Group operatörlerinin kötü niyetli JavaScript kodlu MHTML dosyalarını kullanarak araştırmacıların cihazlarını bulaştığını gördüklerini bildirdi.
Mart 2021'de Google Tag, sahte LinkedIn ve Twitter sosyal medya hesaplarını ve Securielite adlı sahte bir şirketi kullanan güvenlik araştırmacılarını hedefleyerek saldırıların tekrar alındığını açıkladı.
Bu yılın başlarında, Mart ayında Mantiant, yeni kötü amaçlı yazılımlarla bulaşma teklifleri kullanarak ABD ve Avrupa'daki güvenlik araştırmacılarına ve medya kuruluşlarına saldıran şüpheli bir Kuzey Kore hackleme grubunu da aldı ve ortaya koydu.
Google, bu saldırıların hedeflerini açıkça belirtmemiş olsa da, birincil hedefleri, belirli araştırmacıları hedefleyerek açıklanmayan güvenlik açıklarının ve istismarların elde edilmesi gibi görünmektedir.
Notepad ++ 8.5.7 Dört güvenlik açığı için düzeltmelerle yayınlandı
Google: Android Patch Gap, N-Days'i sıfır günler kadar tehlikeli hale getiriyor
Cisco, fidye yazılımı çeteleri tarafından sömürülen VPN sıfır gününü uyarıyor
Apple, iPhone'lara Saldırı için Susturan 2 Yeni Sıfır Gününü Açıklıyor, Macs
Microsoft: Kuzey Koreli bilgisayar korsanları Rus Govt, Savunma Orgs Hedef
Kaynak: Bleeping Computer