Kaspersky, Güney Kore tedarik zincirlerini hedef alan Lazarus liderliğindeki yeni siber saldırıları ortaya çıkardı

GİRİŞ: 28 Nisan 2025 - 12:50

Fotoğraf : BEYAZ

Kaspersky GReAT ekibi, Güney Kore'deki kuruluşları hedef almak için üçüncü taraf yazılımlardaki güvenlik açıklarından yararlanma ile watering hole saldırısını birleştiren sofistike yeni bir Lazarus saldırı kampanyasını ortaya çıkardı. Araştırma sırasında şirket uzmanları, Güney Kore'de yaygın olarak kullanılan Innorix Agent yazılımında da sıfırıncı gün açığı keşfetti ve bu açık derhal yamalandı. GITEX Asia sırasında açıklanan bulgular, Lazarus'un Güney Kore'nin yazılım ekosistemine ilişkin derin kavrayışından yararlanarak nasıl son derece sofistike, çok aşamalı siber saldırılar gerçekleştirebildiğini vurguluyor.

Kaspersky GReAT (Global Araştırma ve Analiz Ekibi) tarafından yayınlanan yeni bir rapora göre, saldırganlar Güney Kore'de yazılım, BT, finans, yarı iletken ve telekomünikasyon sektörlerinde en az altı kuruluşu hedef aldı. Ancak gerçek kurban sayısı daha da yüksek olabilir. Kaspersky araştırmacıları bu kampanyaya "Operation SyncHole" adını verdi.

En az 2009'dan beri aktif olan Lazarus Grubu, geniş kaynaklara sahip ve kötü şöhretli bir tehdit aktörü olarak biliniyor. Yakın tarihli bir kampanyada, grubun idari ve finansal sistemlerde güvenli dosya aktarımları için kullanılan ve üçüncü taraf tarayıcıya entegre bir araç olan Innorix Agent'taki bir günlük güvenlik açığından yararlandığı görüldü. Saldırganlar bu güvenlik açığından yararlanarak yanal hareketi kolaylaştırdı ve hedeflenen ana bilgisayara ek kötü amaçlı yazılım yüklenmesini sağladı. Bu da nihayetinde ThreatNeedle ve LPEClient gibi Lazarus imzalı kötü amaçlı yazılımların dağıtılmasına yol açarak iç ağlardaki konumunu genişletti. Bu açık, Agamemnon indiricisi aracılığıyla sunulan daha büyük bir saldırı zincirinin parçasıydı ve özellikle Innorix'in savunmasız bir sürümünü (9.2.18.496) hedef alıyordu.

Kaspersky'nin GReAT uzmanları, zararlı yazılımın davranışını analiz ederken, herhangi bir tehdit aktörü saldırılarında kullanmadan önce bulmayı başardıkları başka bir rastgele dosya indirme sıfır gün açığı da keşfetti. Kaspersky, Innorix Agent'taki sorunları Kore İnternet ve Güvenlik Ajansı'na (KrCERT) ve satıcıya bildirdi. Yazılım o zamandan beri yamalı sürümlerle güncellenirken, güvenlik açığına KVE-2025-0014 tanımlayıcısı atandı.

Kaspersky GReAT (Global Araştırma ve Analiz Ekibi) Güvenlik Araştırmacısı Sojun Ryu, şunları söyledi: "Siber güvenliğe proaktif bir yaklaşım çok önemlidir. Derinlemesine zararlı yazılım analizimizin daha önce bilinmeyen bir güvenlik açığını herhangi bir aktif istismar belirtisi ortaya çıkmadan önce ortaya çıkarması bu zihniyet sayesinde oldu. Bu tür tehditlerin erken tespiti, sistemlerin daha geniş çapta tehlikeye girmesini önlemenin anahtarıdır."

INNORIX ile ilgili bulgulardan önce, Kaspersky uzmanları daha önce Güney Kore'ye yönelik takip eden saldırılarda ThreatNeedle ve SIGNBT arka kapısının bir varyantının kullanıldığını keşfetmişti. Zararlı yazılım, meşru bir SyncHost.exe işleminin belleğinde çalışıyordu ve çeşitli tarayıcı ortamlarında güvenlik araçlarının kullanımını desteklemek için tasarlanmış meşru bir Güney Kore yazılımı olan Cross EX'in bir alt işlemi olarak oluşturulmuştu.

Kampanyanın detaylı analizi, aynı saldırı vektörünün Güney Kore'deki beş kuruluşta daha tutarlı bir şekilde tespit edildiğini doğruladı. Her bir vakadaki bulaşma zincirinin Cross EX'teki potansiyel bir güvenlik açığından kaynaklandığı görüldü ki, bu da tüm operasyondaki bulaşmanın başlangıç noktası olduğunu düşündürüyor. Özellikle KrCERT tarafından yayınlanan yakın tarihli bir güvenlik danışmanlığı, CrossEX'te güvenlik açığının varlığını doğruladı ve bu güvenlik açığı bu araştırmanın yapıldığı zaman diliminde yamalandı.

Kaspersky GReAT (Global Araştırma ve Analiz Ekibi) Direktörü Igor Kuznetsov, şunları ifade etti: "Bu bulgular birlikte daha geniş bir güvenlik endişesini güçlendiriyor. Üçüncü taraf tarayıcı eklentileri ve yardımcı araçlar, özellikle bölgeye özgü veya eski yazılımlara dayanan ortamlarda saldırı yüzeyini önemli ölçüde artırıyor. Bu bileşenler genellikle yüksek ayrıcalıklarla çalışıyor, bellekte kalıyor ve tarayıcı süreçleriyle derinlemesine etkileşime giriyor. Bu da onları saldırganlar için oldukça çekici ve genellikle modern tarayıcıların kendisinden daha kolay hedefler haline getiriyor."

SyncHole Operasyonu saldırıları nasıl başlıyor?

Lazarus Grubu, genellikle çok sayıda kullanıcı tarafından ziyaret edilen güvenliği ihlal edilmiş çevrimiçi medya web sitelerini yem olarak kullanıyor. Bu teknik, watering hole saldırıları olarak da biliniyor. Tehdit aktörleri gelen trafiği filtreleyerek ilgilendikleri kişileri tespit ediyor, bu hedefleri seçerek saldırganların kontrolündeki web sitelerine yönlendiriyor ve burada bir dizi teknik eylemle saldırı zincirini başlatıyor. Bu yöntem, grubun operasyonlarının hedefli ve stratejik doğasını vurguluyor.

Saldırıda kullanılan yönlendirilmiş sayfaya bir örnek

Lazarus'un son kampanyası hakkında daha fazla bilgi edinmek için Securelist.com adresini ziyaret edin

Kaspersky ürünleri, bu saldırıda kullanılan açıkları ve kötü amaçlı yazılımları aşağıdaki isimlerle tespit edebiliyor: Trojan.Win64.Lazarus.*, Trojan.Win32.Lazarus.*, MEM:Trojan.Win32.Cometer.gen, MEM:Trojan.Win32.SEPEH.gen, Trojan.Win32.Manuscrypt.*, Trojan.Win64.Manuscrypt.*, Trojan.Win32.Zenpak.*

Kaspersky, Lazarus ve diğer Gelişmiş Kalıcı Tehdit (APT) saldırılarına karşı savunmak için doğru tespit, bilinen tehditlere hızlı yanıt ve güvenilir güvenlik araçları kullanımını öneriyor.

Ek tavsiyeler arasında şunlar yer alıyor:

Saldırganların güvenlik açıklarından yararlanarak ağınıza sızmasını önlemek için kullandığınız tüm cihazlardaki yazılımları her zaman güncel tutun.

Açıkları ve savunmasız sistemleri ortaya çıkarmak için ağlarınızda ve varlıklarınızda bir siber güvenlik denetimi gerçekleştirin ve çevrede veya ağ içinde keşfedilen zayıflıkları hızla düzeltin.

Şirketi çok çeşitli tehditlere karşı korumak için, her büyüklükteki ve sektördeki kuruluşlar için gerçek zamanlı koruma, tehdit görünürlüğü, EDR ve XDR'nin araştırma ve yanıt yeteneklerini sağlayan Kaspersky Next ürün serisindeki çözümleri kullanın

InfoSec profesyonellerinize kurumunuzu hedef alan siber tehditler hakkında derinlemesine görünürlük sağlayın. Kaspersky Threat Intelligence, onlara tüm olay yönetimi döngüsü boyunca zengin ve anlamlı bir bağlam sağlar ve siber riskleri zamanında tespit etmelerine yardımcı olur.

Kaynak: (BYZHA) Beyaz Haber Ajansı

Haber Kaynağı : BEYAZ

Gündem

2025 verileri açıklandı: Adıyaman’da en çok kullanılan soy isimler

Erdoğan’dan aile ve nüfus uyarısı: ‘Rakamlar hepimiz için tedirgin edicidir’

TBMM'de Okul Güvenliği İçin Komisyon Kuruldu: Vekiller Sahaya İniyor!

Adıyaman’da duygusal karşılama: “Bizi durduramayacaklar” - Videolu Haber

Çeşmeli-Kızkalesi Otoyolu’nda sona yaklaşıldı

Osmangazi'de Huzurevi Sakinlerini Mutlu Eden Buluşma

Yorum Ekle

E-posta adresiniz yayınlanmayacaktır. Zorunlu alanlar * ile işaretlenmiştir

Yorumunuz

Adınız Soyadınız

O AV P

1	Galatasaray	31	72	74
2	Fenerbahçe	31	68	67
3	Trabzonspor	31	58	65
4	Beşiktaş	32	56	59
5	Başakşehir	31	52	51
6	Göztepe	31	39	51
7	Samsunspor	31	39	45
8	Rizespor	32	44	40
Tamamını Göster
15	Gençlerbirliği	31	30	28
16	Eyüpspor	31	25	28
17	Kayserispor	31	23	26
18	Karagümrük	31	27	21

O AV P

1	Erzurumspor	38	81	80
2	Esenler Erokspor	38	80	74
3	Arca Çorum FK	38	63	73
4	Amed Sportif	38	78	73
5	Bodrum FK	38	71	65
6	Pendikspor	38	57	63
7	Bandırmaspor	38	46	58
8	Keçiörengücü	38	69	57
Tamamını Göster
17	Serik Belediyespor	38	44	39
18	Sakaryaspor	38	45	34
19	Hatayspor	38	33	14
20	A.Demirspor	38	22	-54

O AV P

1	Arsenal	34	64	73
2	M.City	33	66	70
3	M. United	34	60	61
4	Liverpool	34	57	58
5	Aston Villa	34	47	58
6	Brighton	34	48	50
7	Bournemouth	34	52	49
8	Chelsea	34	53	48
Tamamını Göster
17	West Ham United	34	42	36
18	Tottenham	34	43	34
19	Burnley	35	35	20
20	Wolves	34	24	17

O AV P

1	Bayern Munih	31	113	82
2	B. Dortmund	31	65	67
3	RB Leipzig	31	62	62
4	VfB Stuttgart	31	63	57
5	Hoffenheim	31	61	57
6	Leverkusen	31	62	55
7	E. Frankfurt	31	56	43
8	Freiburg	31	44	43
Tamamını Göster
15	Hamburger SV	31	34	31
16	St. Pauli	31	26	26
17	Wolfsburg	31	41	25
18	FC Heidenheim	31	35	22

O AV P

1	Barcelona	33	87	85
2	Real Madrid	33	68	74
3	Villarreal	34	60	66
4	Atletico Madrid	33	56	60
5	Real Betis	33	49	50
6	Getafe	33	28	44
7	Celta Vigo	33	45	44
8	Real Sociedad	33	52	43
Tamamını Göster
17	Alaves	33	38	36
18	Levante	34	38	34
19	Sevilla	33	40	34
20	Real Oviedo	33	26	28

O AV P

1	Inter	34	80	79
2	SSC Napoli	34	52	69
3	AC Milan	34	48	67
4	Juventus	34	57	64
5	Como	34	59	61
6	Roma	34	48	61
7	Atalanta	34	47	54
8	Lazio	34	37	48
Tamamını Göster
17	Lecce	35	24	32
18	Cremonese	34	26	28
19	Verona	34	23	19
20	Pisa	35	25	18

O AV P

1	PSG	30	68	69
2	Lens	30	60	63
3	Lyon	31	48	57
4	Lille	31	50	57
5	Rennes	31	54	56
6	Marsilya	32	59	54
7	AS Monaco	31	54	51
8	Strasbourg	30	49	46
Tamamını Göster
15	Nice	31	35	30
16	Auxerre	31	27	25
17	Nantes	32	26	21
18	Metz	31	31	16

O AV P

1	PSV Eindhoven	31	90	77
2	Feyenoord	31	65	58
3	NEC Nijmegen	31	73	55
4	Ajax	31	59	54
5	FC Twente	31	52	54
6	Alkmaar	31	52	49
7	SC Heerenveen	31	55	47
8	FC Utrecht	31	49	44
Tamamını Göster
15	FC Volendam	31	33	31
16	Telstar	31	43	30
17	NAC Breda	31	30	25
18	Heracles	31	34	19