Kaspersky uzmanları, 'SolarWinds' saldırısının 'Kazuar arka kapısı'yla ilgili olduğunu tespit etti

İSTANBUL (AA) - Kaspersky uzmanları, 2017'de Palo Alto tarafından bildirilen ve dünya çapındaki siber casusluk saldırılarında kullanılan ".NET çerçevesi" kullanılarak yazılmış bir arka kapı olan Kazuar ile örtüşen bir dizi özellik keşfetti.

Kaspersky açıklamasına göre, 13 Aralık 2020'de FireEye, Microsoft ve SolarWinds, SolarWinds'in Orion BT müşterilerine karşı kullanılan, önceden bilinmeyen yeni bir kötü amaçlı yazılım olan "Sunburst" isimli büyük ve karmaşık bir tedarik zinciri saldırısını keşfettiğini duyurdu. Kaspersky uzmanları, Sunburst ile kurbanın makinesine uzaktan erişim sağlayan kötü amaçlı yazılım türü olan Kazuar arka kapılarının bilinen sürümleri arasında özel kod benzerlikleri buldu. Yeni bulgular, araştırmacıların saldırının kaynağını ortaya çıkarmasına yardımcı olabilecek yeni ipuçları sağlıyor. Kodlardaki benzerlikler, Kazuar ve Sunburst arasında bir bağlantı olduğunu düşündürüyor.

Sunburst ve Kazuar arasındaki örtüşen özellikler, kurbana yönelik UID oluşturma algoritmasını, uyku algoritmasını ve FNV-1a hash değerinin kapsamlı kullanımını içeriyor. Uzmanlara göre, bu kod parçaları yüzde 100 özdeş değil. Bu da Kazuar ve Sunburst'un ilişkili olabileceğini düşündürse de ikisi arasındaki ilişkinin doğası hala tam olarak netleşmiş değil.

Sunburst kötü amaçlı yazılımı ilk kez devreye alındıktan sonra Şubat 2020'de Kazuar gelişmeye devam etti. Kazuar'ın 2020 varyantları, bazı açılardan Sunburst'a daha da benziyor.

Genel olarak Kazuar'ın evrimleştiği dönemde uzmanlar, Sunburst'a benzer önemli özelliklerin eklendiği sürekli bir geliştiğini gözlemledi. Kazuar ve Sunburst arasındaki bu benzerlikler dikkate değer olmakla birlikte bunun sebebine dair pek çok ihtimal bulunuyor. Bunlar arasında Sunburst ve Kazuar'ın aynı grup tarafından geliştirilmesi, Sunburst geliştiricilerinin Kazuar'dan ilham alması, Kazuar geliştiricilerinden bir kısmının Sunburst ekibine geçmesi veya Sunburst ve Kazuar'ın aynı kötü amaçlı kaynaktan beslenmesi sayılabilir.

- "Ekibinizin en son tehdit istihbaratına erişimini sağlayın"

Açıklamada görüşlerine yer verilen Kaspersky Küresel Araştırma ve Analiz Ekibi Direktörü Costin Raiu, "Belirlenen bağlantı SolarWinds saldırısının arkasında kimin olduğunu açığa çıkarmıyor, ancak araştırmacıların ilerlemesine yardımcı olabilecek daha fazla bilgi sağlıyor. Dünyadaki diğer araştırmacıların bu benzerlikleri araştırmasının, Kazuar ve SolarWinds ihlalinde kullanılan Sunburst'un kökeni hakkında daha fazla bilgi edinme noktasında önemli olduğuna inanıyoruz. Geçmiş deneyimlerden yola çıkarak WannaCry saldırısına dönüp baktığımızda, saldırının ilk günlerinde onları Lazarus grubuna bağlayan çok az ipucu vardı. Zamanla daha fazla kanıt ortaya çıktı ve bizim ve diğerlerinin bu ikisini birbirine bağlamamıza izin verdi. Bu konu hakkında daha fazla araştırma yapılması, eksik halkaları birleştirmek adına çok önemli." ifadelerini kullandı.

Kaspersky, Sunburst gibi kötü amaçlı yazılımlardan korunmak için şunları öneriyor:

"SOC ekibinizin en son tehdit istihbaratına erişimini sağlayın. Kaspersky Tehdit İstihbarat Portalı, Kaspersky tarafından 20 yıldan fazla bir süredir toplanan siber saldırı verilerini ve içgörüleri sağlar. Kullanıcıların dosyaları, URL'leri ve IP adreslerini kontrol etmesine izin veren özelliklere ücretsiz erişim için bu adrese gidebilirsiniz. Kendi soruşturmalarını yürütmek isteyen kuruluşlar, Kaspersky Threat Attribution Engine'den yararlanabilir. Bu sistem keşfedilen kötü amaçlı kodları kötü amaçlı yazılım veri tabanlarıyla eşleştirir ve kod benzerliklerine dayanarak, daha önce ortaya çıkan saldırı kampanyalarıyla ilişkilendirir."