Mirage Kitten: LinkedIn Sırasında Gelişmiş Kalıcı Tehditlerle Sürüyor

Kaspersky GReAT ekibi, Mirage Kitten adlı gelişmiş kalıcı tehdit grubunun hedef alındığı siber saldırı kampanyasını tespit etti. Türkiye’nin de dahil olduğu bir dizi ülkede görülen tehdit, LinkedIn üzerinden sahte işe alım mesajlarıyla havacılık ve fintek sektörlerini hedefliyor. Saldırıların merkezinde Orta Doğu ve Afrika’da Mısır, Etiyopya ve Afganistan gibi ülkeler bulunurken, zararlandırıcı yazılımların etkisi Türkiye, Almanya, İsrail, Hindistan ve İrlanda gibi ülkelerde de izleniyor. Kaspersky’nin Temmuz ayında paylaştığı Mirage Kitten’a ilişkin Windows arka kapı keşfi haberiyle hızlı bir şekilde ilişkili durumda.

Saldırı süreci, LinkedIn üzerinden kendilerini büyük teknoloji şirketlerinde çalışan yetenek kazanımı uzmanları olarak tanıtan saldırganların, yazılım mühendislerini hedef almasıyla başlıyor. Adaylara, teknik bir değerlendirmeye katılmaları için yönlendirme yapılır ve sahte bir Amazon bulut depolama hizmetindeki bir “kodlama görevi”ni indirmeleri talep edilir. Adaya yönelik zaman baskısı hissi yaratmak amacıyla test süresi bir ila üç saat olarak belirlenir ve adayların yapay zeka tabanlı kod yardımcısı kullanımına yönelik kısıtlamalar getirilir; zira bu araçlar içeriğe gizlenmiş zararlı kodları fark edebilir.

Geliştirici, kodlama testini indirdikten ve çalıştırdıktan sonra sızma süreci başlar. Adaylar sahte arayüzler üzerinde çalışırken, arkadan zararlı yazılım sistemde sessizce kurulmaya başlar. Ayrıca Mirage Kitten, önceki dönemlerde C, C++ veya Go ile yazılan yerel programlara odaklanırken şimdi Node.js ve JavaScript üzerinde yeniden yapılandırılmış bir araç setiyle Windows, macOS ve Linux’u tek bir kod tabanından hedefleyebiliyor.

Kaspersky, bu kampanyada iki yeni kötü amaçlı yazılım ailesi tespit etti. NodeRabbit, Node.js tabanlı bir Uzaktan Erişim Truva Atı olup, popüler geliştirme paketlerine saklanmış durumdadır ve saldırganların kurban üzerinde kapsamlı kontrol elde etmesini sağlar. Bu kötü amaçlı yazılım, sahte Visual Studio Code çalışma alanları ve geliştiricilerin yerel kod depolarının değiştirilmesiyle proje kaydedildiğinde çalışacak şekilde tasarlanmıştır. PollCat ise JavaScript tabanlı bir RAT’tır ve adayların “tek kullanımlık parola”yı girdikten sonra sistem bilgilerini toplar, dizinleri tarar ve toplanan verileri saldırganlara iletir.

Kaspersky GReAT güvenlik uzmanı Omar Amin, şu değerlendirmeyi paylaştı: JavaScript tabanlı tehditlere geçiş, Mirage Kitten operasyonlarında kilit bir dönüm noktasıdır. Saldırganlar işe alım süreçlerini kullanarak geliştiricilerin günlük araçlarına kod enjekte etmekte ve yüksek erişim yetkisine sahip bu kullanıcıları hedef alarak kurumsal güvenlik sınırlarını fark edilmeden aşmaktadır.

Güvenlik önlemleri olarak şu temel adımlar öneriliyor:

• Kapsamlı Koruma ve Görünürlük: Gerçek zamanlı izleme, tehdit görünürlüğü ve EDR/XDR yanıt yetenekleri sunan kurumsal çözümlerle güvenlik altyapısını güçlendirmek. İhtiyaca uygun paket seçimiyle esneklik sağlanabilir.
• Yönetilen Güvenlik Hizmetleri: Tehdit tespitinden müdahaleye kadar tüm süreçleri kapsayan hizmetler, güvenlik olaylarını derinlemesine inceleme ve uzman desteği sunar. Örneğin Kaspersky Compromise Assessment, MDR ve Incident Response gibi çözümler değerlendirilebilir.
• Tehdit İstihbaratı: Kurum içi güvenlik ekiplerinin tehditleri daha iyi anlamasını sağlayacak içerikler ve bağlam sunan kaynaklar güvenlik farkındalığını artırır.

Kaynak: Beyaz Haber Ajansı (BYZHA).