Yeni bir güvenlik raporuna bakılırsa, Asya ve Afrika’daki bölgesel diplomatik kuruluşlar 2019’dan beri aktif olduğu düşünülen bir gelişmiş kalıcı tehdit (APT) operasyonuna maruz kalmışlar. ‘TunnelSnake’ adı verilen operasyon, ‘Moriya’ adındaki daha önce bilinmeyen bir rootkit ile gerçekleştirilmiş. Araştırmalar sonucunda, kimliği bilinmeyen saldırganların hedeflenen kuruluşların ağlarını birkaç ay boyunca gizlice kontrol ettiği saptanmış.
Rootkit denilen kötü niyetli yazılımlar, virüs bulaşmış bir bilgisayara neredeyse sınırsız ve gizli erişim yetkisi sağlayabilmekte. Bu yazılım türü işletim sisteminin yapısına uyum sağlama yeteneği ile çoğu tespit uygulamasından kaçabilmeleri ile biliniyor. Her ne kadar Microsoft’un işletim sistemini korumak için aldığı önlemler sayesinde rootkit bileşenlerinin saldırganlar tarafından yürütülmesi zorlaştıysa bile, bu saldırılar hala devam etmekte. Sonuçta artık rootkit yazılımlarının daha çok yüksek profilli APT saldırılarında kullanılmakta olduğu belirtilmiş.
Siber güvenlik firması Kaspesky, yayımladığı raporda Moriya rootkit yazılımının hedeflenen organizasyon içindeki savunmasız web sunucularında konuşlandırıldığını aktarmakta. Saldırılardan birinde saldırganların virüslü sunucunun uzaktan kontrolüne izin veren kötü niyetli bir kod olan ‘China Chopper’ web kabuğunu (shell) sunucuya bulaştırdığı keşfedilmiş. Bu web kabuğu ile elde edilen erişim sayesinde Moriya yazılımı dağıtılmış.
TunnelSnake operasyonunda siber saldırganların yerel ağdaki ana bilgisayarları taramasına, yeni hedefler bulmasına ve yanal hareket gerçekleştirmesine olanak tanıyan başka araçlar keşfedildiği de ifade ediliyor. Bu araçların daha önce Çince konuşan çeşitli siber suç grupları tarafından kullanıldığı raporlanmakta.
Kaspersky Küresel Araştırma ve Analiz Ekibi Kıdemli Güvenlik Araştırmacısı Giampaolo Dedola raporda şu bilgileri vermiş: “Söz konusu kampanyayı belirli bir aktöre bağlayamasak da APT‘de kullanılan hedefler ve araçlar Çince konuşan gruplarla bağlantılı. Bu nedenle aktörün muhtemelen Çince konuştuğunu düşünüyoruz. Ayrıca 2018 yılında bağımsız bir saldırıda kullanılan ve en az 2018’den beri aktif olan bir aktörün kullanıldığını gösteren, Moriya’nın eski bir versiyonuna da rastladık. Hedeflerin profili ve araç seti, kampanyadaki amacın casusluk olduğunu gösteriyor.”
