Dünya çapında siber saldırılar önemli ölçüde artmaya devam ederken, bugün Türkiye’ye yönelik yapılan bir siber saldırı ortaya çıkarıldı. Ağ teknolojileri şirketi Cisco’nun bünyesinde bulunan Talos İstihbarat Grubu, İran destekli bir hacker grubunun Türkiye’ye yönelik yaptığı siber saldırının detaylarını ortaya çıkardı.
Cisco Talos tarafından paylaşılan detaylı blog gönderisine göre neredeyse kesin olarak MuddyWater isimli ‘gelişmiş sürekli tehdit (GST)’ saldırı grubu tarafından yapılan saldırı, özel Türk kuruluşları ve devlet kurumlarını hedef alıyordu. Saldırı, kötü amaçlı kodlar içeren PDF’ler ve Office dosyaları gibi dosyalarla gerçekleştiriliyordu.
Gelecek saldırılar için köprü olacak kodları bilgisayar yüklüyorlardı
Talos tarafından yapılan açıklamaya göre MuddyWater’a bağlı olduğu düşünülen saldırılar, Kasım 2021'e kadar takip edilebildi. TÜBİTAK’ı da hedef aldığı açıklanan saldırılarda kullanılan kötü amaçlı dosyalar, genellikle e-posta üzerinden gönderiliyorlardı. Bu dosyalar indirilip açıldığındaysa bir indirme bağlantısı yer alıyor ve bu bağlantı, ‘snapfile.org’ üzerinden hackerlara erişim sağlayacak zararlı yazılımı içeren bir Excel dosyası indiriliyordu.
Dosyalar, olabildiğince az şüpheli gözükmek içinse Türkçe ve resmi isimleri kullanıyordu. Bu dosya isimlerinden bazıları, dosyanın Sağlık ya da İçişleri Bakanlığı tarafından gönderilmiş olabileceğine işaret ediyor, bazılarıysa ‘Süreç_No’ veya ‘Teklif_form_onayli’ gibi önemli gösterilmek üzere adlandırılıyordu.
Bilgisayara PDF dosyasındaki bağlantıya tıklanarak indirilen dosya aracılığıyla yüklenen zararlı yazılım, bilgisayarda PowerShell kodlarının uzaktan çalıştırılmasını sağlıyordu. Çalıştırılan kodlar, diğer saldırıları sağlayacak ek kodlar için bir indirme yöneticisi görevi görüyordu. Böylelikle hackerlar, bu bilgisayarlara istedikleri saldırıyı yapabilme imkânına sahip oluyorlardı.
Söz konusu saldırı hakkında Trakya Üniversitesi ve Ulusal Siber Olaylara Müdahale Merkezi (USOM), daha önce bu saldırı hakkında bir uyarı paylaşmıştı. Trakya Üniversitesi’nin uyarısında dosyaların gönderildiği e-posta adresleri ve zararlı yazılım kontrol merkezi olduğu değerlendirilen IP adresleri yer alıyordu. Bu uyarıdaki adresler, Talos’un araştırmasıyla uyuşuyor.
MuddyWater grubu kimdir?
MuddyWater olarak bilinen İran merkezli hacker grubu, bugüne kadar casusluk, fikri mülkiyet hırsızlığı ve fidye amacıyla saldırılar düzenledi. 2017 yılından beri aktif olan grup, ABD Siber Komutanlığı tarafından İran İstihbarat ve Güvenlik Bakanlığı’yla bağdaştırıldı.
Saldırı hakkında daha fazla teknik detay öğrenmek için, Talos'un blog gönderisine buraya tıklayarak ulaşabilirsiniz.