DeceptiveDevelopment ve Kuzey Koreli BT Çalışanlarının Dolandırıcılık Ağı: OSINT ve Tehdit Aktörleri Üzerine Güncel Bir İnceleme

Bir siber güvenlik raporu, DeceptiveDevelopment olarak da bilinen ve Kuzey Kore ile ilişkili olduğu düşünülen bir tehdit grubunun, özellikle kripto para birimi projelerinde çalışan geliştiricilere yönelik sofistike sosyal mühendislik ve trojanize yazılım saldırılarını nasıl yürüttüğünü ayrıntılı biçimde ortaya koyuyor. Bu grup, Windows, Linux ve macOS platformlarında bulunan geliştiricileri hedef alıyor ve sahte iş görüşmesi süreçleriyle başlatılan operasyonlarda, kullanıcıları arka kapı kuran yazılımlara yönlendiren bir dizi teknik kullanıyor.

Analizde, sahte iş ilanları ve iş görüşmesi süreçlerine ilişkin yenilikçi yöntemler, LinkedIn, Upwork, Freelancer.com ve Crypto Jobs List gibi platformlarda gerçekleştirilen kandırıcı hesaplar üzerinden kendini imha eden işveren imajlarıyla destekleniyor. Hedefler arasında, sahte bir başvuru formunun doldurulması ve video yanıt kaydı talebi sonrası kullanıcıların kamera sorunlarını giderme amacıyla komut kopyaladığı bir sonraki adım bulunuyor; bu adım, kötü amaçlı yazılımı indirmek ve çalıştırmak için kullanılıyor. Bu süreçte kullanılan teknikler, Leiden Lazarus grubunun DreamJob operasyonuna benzer sosyal mühendislik taktiklerini andırıyor.

Çalışmaların ana hedeflerinden biri yazılım geliştiriciler ve kripto/Web3 projeleriyle çalışan ekipler; ilgi çekici ücretli fırsatlar sunularak çekiliyor ve böylece kurbanlar üzerinde büyük bir manipülasyon potansiyeli oluşturuluyor. En sık karşılaşılan yayılım araçları BeaverTail, OtterCookie ve WeaselStore gibi bilgi hırsızları ile InvisibleFerret modüler uzaktan erişim Trojan’larını içeriyor. Araştırmacılar, DeceptiveDevelopment’un operasyonlarının başlangıç aşamasında sosyal medyada sahte işe alınan profiller üzerinden güven kazanılmasını hedeflediğini belirtiyorlar.

OSINT kaynakları üzerinden edinilen veriler, Kuzey Koreli BT çalışanlarının Batı’da, özellikle ABD’de iş ve sözleşmeli çalışma üzerinden finansal kazanç elde etmeye odaklandığını gösteriyor. Ancak Avrupa’yı kapsayan bir kayma da gözlemleniyor; Fransa, Polonya, Ukrayna ve Arnavutluk gibi ülkeler bu eğilimin etkilediği bölgeler olarak öne çıkıyor. Çalışanlar, görevlerini yerine getirmek için yapay zekayı yoğun biçimde kullanıyor ve profil resimlerini, özgeçmişlerini yapay zeka ile manipüle ederek gerçek zamanlı video görüşmelerinde yüz değiştirme tekniklerini uygulayabiliyorlar. Uzaktan görüşme platformları olarak Zoom, MiroTalk, FreeConference ve Microsoft Teams sıkça kullanılmakta; proxy mülakatlar ise işverenler için ciddi güvenlik riskleri doğuruyor.

Uzmanlar bu sahtecilik ağlarının kimlik hırsızlığı ve sentetik kimlik sahtekarlığı gibi klasik suçları dijital araçlarla birleştirdiğini, hem geleneksel suç hem de siber tehdit olarak sınıflandırdıklarını vurguluyor. Kálnai, bu operasyonların yüksek düzeyde teknik sofistike bir yapıya sahip olduğunu ve sahte işe alım süreçlerini kullanarak kurbanlara karşı derinleşen bir manipülasyon zinciri kurulduğunu belirtiyor.

Giriş teşekkürleri ve araç setleri DeceptiveDevelopment’un iki ana araç seti olan InvisibleFerret ve BeaverTail’in evrimi ve yeni güvenlik açıklarını nasıl ortaya çıkardığı da raporda öne çıkıyor. Ayrıca Tropidoor arka kapısı ile Lazarus grubunun PostNapTea RAT’i arasındaki yeni bağlantılar da bu çalışmada işlenen konular arasında. TsunamiKit ve WeaselStore gibi yeni araçların derinlemesine analizi, WeaselStore’un C&C sunucusu ve API’sının işlevselliğini belgeliyor. Rapor, bu operasyonların yıllık olarak büyüdüğünü ve özellikle güvenlik topluluğu için öncelikli bir tehdit niteliğinde olduğunu vurgulayarak sona eriyor.