'Sandworm' olarak izlenen devlet destekli Rus hack grubu, Ukrayna'da Mayıs ve Eylül 2023 arasında on bir telekomünikasyon hizmet sağlayıcısını tehlikeye attı.
Bu, Ukrayna'nın Bilgisayar Acil Müdahale Ekibi (CERT-UA) tarafından 'kamu kaynakları' ve bazı ihlal sağlayıcılardan alınan bilgileri alıntılayan yeni bir rapora dayanmaktadır.
Ajans, Rus bilgisayar korsanlarının ülkedeki 11 telko iletişim sistemlerine "müdahale ettiğini" ve hizmet kesintilerine ve potansiyel veri ihlallerine yol açtığını belirtiyor.
Sandworm, Rusya'nın GRU'ya (Silahlı Kuvvetler) bağlı çok aktif bir casusluk tehdidi grubudur. Saldırganlar, kimlik avı yemleri, Android kötü amaçlı yazılımlar ve veri kullanıcılar kullanarak 2023 boyunca Ukrayna'ya odaklandı.
Saldırılar, Sandworm'un telekomünikasyon şirketinin ağlarında, hedef ağında tarama yapmak için 'Masscan' aracını kullanarak keşif yapmasıyla başlar.
Sandworm, ağı ihlal etmek için kaldırabilecekleri açık bağlantı noktalarını ve korunmasız RDP veya SSH arayüzlerini arar.
Buna ek olarak, saldırganlar web hizmetlerinde erişim elde etmek için kullanılabilecek potansiyel güvenlik açıklarını bulmak için 'FFUF', 'Dirbuster', 'Gowitness' ve 'NMAP' gibi araçlar kullanıyor.
Çok faktörlü kimlik doğrulama ile korunmayan tehlikeye atılmış VPN hesapları da ağ erişimi elde etmek için kullanılmıştır.
Müdahale daha gizli hale getirmek için Sandworm, daha önce tehlikeye attıkları Ukrayna İnternet bölgesindeki sunucular aracılığıyla kötü niyetli faaliyetlerini yönlendirmek için 'Dante', 'Socks5' ve diğer proxy sunucularını kullanıyor ve daha az şüpheli görünmesini sağlıyor.
CERT-UA, ihlal edilen ISS sistemlerinde iki arka plan gördüğünü, yani 'şiir' ve 'Poseidon' olduğunu bildiriyor.
Poemgate, tehlikeye atılan uç noktada kimlik doğrulaması yapmaya çalışan yöneticilerin kimlik bilgilerini yakalar ve saldırganlara yanal hareket veya daha derin ağ infiltrasyonu için kullanabilecekleri ek hesaplara erişim sağlar.
Poseidon, Ukrayna ajansının "tüm uzak bilgisayar kontrol araçlarını içerdiğini" söylediği bir Linux arka kapısıdır. Poseidon için kalıcılık, haydut işler eklemek için Cron'u değiştirerek elde edilir.
Sandworm, saldırının izlerini kaldırmak ve erişim günlüklerini silmek için 'Whitecat' aracını kullanır.
Saldırının son aşamalarında, bilgisayar korsanları, özellikle Mikrotik ekipmanlarına odaklanarak hizmetin kesintisine neden olacak komut dosyaları kullandılar ve iyileşmeyi daha zor hale getirmek için yedeklemeleri sildi.
CERT-UA, ülkedeki tüm servis sağlayıcıların siber davetsiz misafirlerin sistemlerini ihlal etmesini zorlaştırmak için bu kılavuzdaki önerileri izlemelerini önermektedir.
Yeni Atlascross Hackers, Amerikan Kızıl Haçını Kimlik Avı Olarak Kullanıyor
Bilgisayar korsanları Backdoor telekom sağlayıcıları yeni Httpsnoop kötü amaçlı yazılım
Gru bilgisayar korsanları Ukrayna ordusuna yeni Android kötü amaçlı yazılımlarla saldırır
Romcom kötü amaçlı kimlik avı hedeflenen kadın siyasi liderler zirvesi
Ubuntu, 23.10 sürümünde 'Nefret söylemini' keşfeder - nasıl yükseltilir?
Kaynak: Bleeping Computer