MgBot Tabanlı Uzun Soluklu Sızıntı Kampanyasında Evasive Panda’nın Yeni Bulguları ve Korunma Önerileri

Kaspersky, Evasive Panda grubu tarafından yürütülen sofistike bir siber casusluk operasyonunun son bulgularını paylaştı. Zararlı yazılımlar meşru sistem süreçlerine enjekte edilerek çalıştırılıyor ve enfeksiyonlar uzun süre güvenlik fark edilmeden sürdürülüyor. 2022 Kasım ile 2024 Kasım arasında aktif olan bu operasyon, Türkiye, Çin ve Hindistan’daki makineleri hedef aldı; bazı enfeksiyonların bir yıldan uzun süre devam ettiği tespit edildi.

Saldırılarda, SohuVA, iQIYI Video, IObit Smart Defrag ve Tencent QQ gibi popüler Windows uygulamalarının güncellemeleri gibi görünen sahte paketler kullanıldı. Bu sahte güncelleyiciler, güvenilir uygulamalarla uyumlu görünmesi amacıyla tasarlandı ve başlangıç aşamasında kullanıcının dikkatini çekmeden kötü amaçlı eylemleri başlatabildi. Ayrıca DNS zehirleme yöntemleriyle bir zararlı bileşeninin kendi sunucularından dağıtıldığı ve bu bileşenin meşru bir internet sitesinde barındırılıyor izlenimini verdiği belirlendi.

Kampanyanın merkezinde, Evasive Panda tarafından 2012’den bu yana kullanılan modüler MgBot çerçevesi yer alıyor; tuş kaydı, dosya hırsızlığı ve komut çalıştırma gibi yetenekleri olan bu zararlı yazılım, 2022–2024 döneminde yeni yapılandırmalarla güncellendi. Bu güncellemeler, operasyonun kesintisiz sürdürülmesi ve uzun vadeli erişimi korumak amacıyla birden fazla komuta-kontrol (C2) sunucusunun devreye alınmasını içerdi.

Kaspersky güvenlik uzmanı Fatih Sensoy şu değerlendirmeyi paylaştı: Bu kampanya, saldırganların savunma mekanizmalarından kaçınma çabalarını ve MgBot gibi güvenilir araçları yeniden kullanma stratejilerini net bir şekilde gösteriyor. İki yıl süren bu operasyon, kullanıcıların günlük yaşamlarında güvenilir gördükleri uygulamalardan faydalanarak kritik sistemlerde kalıcı erişim elde etmeyi hedefleyen yüksek kaynak gerektiren ve ısrarlı bir yaklaşımı yansıtıyor. Özellikle önemli olan nokta, implantların sunucu tarafında işletim sistemi ortamına özel olarak uyarlanması; bu da hedefli bir casusluk için olanak sağlıyor. Kurumların bu tür uzun soluklu kampanyalara karşı proaktif güvenlik önlemleri alması büyük önem taşıyor.

Kaspersky, kurumları ve bireyleri bu tür tehditlere karşı uyanık olmaya çağırıyor. Araştırmaya dayalı olarak öne çıkan öneriler şu şekilde özetlenebilir:

• Yazılım güncellemeleri sürecinde çok faktörlü kimlik doğrulama uygulanmalı ve güncelleme paketleri, bilinmeyen konumlandırmalar veya bilinen zararlı kalıplar için uç nokta tespiti ve yanıt (EDR) çözümleriyle dikkatlice incelenmelidir.
• Adversary-in-the-Middle (AitM) saldırılarını tespit etmek için ağ izleme kapasitesi güçlendirilmelidir; DNS yanıtları ile ağ trafiği düzenli olarak zehirlenme veya müdahale belirtileri açısından kontrol edilmelidir.
• Kullanıcılar, güvenilir tedarikçilerden geldiği iddia edilen sahte güncelleme temalı oltalamaları daha iyi fark edebilsin diye farkındalık ve eğitim çalışmalarıyla desteklenmelidir.
• Bireysel kullanıcılar, güvenilir ve doğrulanmış güvenlik çözümleri kullanarak düzenli zararlı yazılım taramaları yapmalıdır.

Detaylı bilgi için kaynak bağlantısına başvurulabilir. Kaynak: BYZHA – Beyaz Haber Ajansı