İsrail Ulusal Siber Müdürlüğü (INCD), son haftalarda, alıcılara oldukça güvenilir görünen bir yöntemi kullanan, kuruluşları hedef alan büyük ölçekli bir kimlik avı kampanyası tespit etti. Sistematik saldırı girişimlerinin, İran bağlantılı MuddyWater saldırı grubuna atfedildiği belirtildi. Kampanyaya ilişkin özel bir rapor bugün yayınlandı ve Tel Aviv Üniversitesi’ndeki Siber Hafta (CyberWeek) sırasında sunulacak.
Saldırılar kapsamında, tehdit aktörleri meşru kurumsal e-posta hesaplarına sızarak, doğru İbranice, kuruluşun faaliyet alanına göre uyarlanmış içerik ve ilgili dosya adlarına sahip ekler içeren, gerçekçi görünen kimlik avı e-postaları dağıtmak için bunları kullanıyor. E-postalarda kötü amaçlı bir Word belgesi bulunuyor ve kullanıcı “İçeriği Etkinleştir”e tıkladığında, kötü amaçlı araç iş istasyonunun kontrolünü ele geçiriyor. Mesajlar, resmi görünümlü logolar, imzalar ve belgeler kullanılarak kuruluşun ortamına uyacak şekilde özelleştiriliyor.
Dosyayı açtıktan sonra, BlackBeard olarak bilinen özel bir saldırı aracı uç noktaya yükleniyor. Bu nispeten yeni kötü amaçlı yazılım, saldırganın sisteme tam kontrol sağlamasına, ortamı haritalandırmasına, güvenlik ürünlerini atlatmasına ve gerektiğinde ek saldırı bileşenleri indirmesine olanak tanıyor. Enfeksiyon anından itibaren, ele geçirilen kullanıcının e-posta hesabı, saldırıyı hem kuruluş içinde hem de dışında daha fazla yaymak ve binlerce alıcıya ulaşmak için kullanılıyor. Kötü amaçlı yazılım, güvenlik araçları tarafından yaygın olarak izlenen konumlarda görünmeden aktif kalmasını sağlayan gizli kalıcılık teknikleri kullanıyor. Bu operasyonel örüntü, MuddyWater’ın bilinen taktikleriyle oldukça tutarlı ve daha önce İsrail’deki saldırılarda gözlemlenmiştir.
İran İstihbarat Bakanlığı bünyesinde faaliyet gösteren MuddyWater, istihbarat toplama ve hedef ağlarda uzun vadeli yer edinmeye odaklanıyor. Grup, son yıllarda hükümet, sağlık, eğitim ve küçük-orta ölçekli işletmeler dahil olmak üzere İsrailli kuruluşlara saldırmaya sürekli olarak çalışmıştır. Grup, kendi geliştirdiği araçları dağıtılmış komuta ve kontrol altyapılarıyla birleştiriyor. Saldırı girişimleri Türkiye, Afganistan, Pakistan, Birleşik Arap Emirlikleri, Irak, Birleşik Krallık, Azerbaycan, Amerika Birleşik Devletleri, Mısır ve Nijerya dahil olmak üzere diğer ülkelerde de tespit edilmiştir.
İsrail Ulusal Siber Müdürlüğü, İsrail genelindeki kuruluşları daha yüksek düzeyde dikkat göstermeye, birkaç kritik koruyucu önlemi kesin olarak uygulamaya ve yayınlanan saldırı göstergelerini (IOC’ler) ve önerilen azaltma eylemlerini gözden geçirmeye çağırıyor.
Raporun yazarları olan INCD siber araştırmacılarına göre: “Son saldırılar, İranlı aktörlerin İsrail ağlarına sızma ve içlerinde uzun vadeli varlık oluşturma yönündeki ısrarlı girişimlerini bir kez daha gösteriyor. Kimliğe bürünme, hassas dil ve meşru görünen dosyalar, insan içgüdüsünü atlatmak ve kullanıcıları kötü amaçlı eki açmaya ikna etmek için tasarlanmıştır. Bu tür tek bir başarılı saldırı, hızla tüm kuruluşlara yayılan geniş çaplı bir saldırıya dönüşebilir. Bu nedenle INCD, riski azaltmak ve ulusal siber dayanıklılığı güçlendirmek amacıyla kuruluşlara güncellemeler, uyarılar ve uygulamalı rehberlik yayınlamaya devam ediyor.”
Raporun tamamı için buraya tıklayın
