Siber suç dünyasında gazeteci kılığına girerek düzenlenen kimlik avı saldırıları kullanıcıları tehdit ediyor.

Google’ın Tehdit Analiz Grubu (TAG), Kuzey Koreli siber aktör APT43’ün bir alt kümesi olan Archipelago’nun operasyonlarını analiz ettiği raporunu paylaştı.

TAG’ın yayımladığı raporda Archipelago’nun, insan hakları ve nükleer silah konularında Kuzey Kore özelinde uzmanlığı bulunan kişilere gazeteci gibi davranarak kimlik avı saldırıları düzenlediği belirtildi.

Tehdit Analiz Grubu araştırmacıları geçtiğimiz günlerde yıllarca Güney Kore ve ABD’deki hükûmet ve ticari kuruluşları hedef alarak siber casusluk saldırıları yürüten Kuzey Koreli ve hükûmet destekli siber aktör APT43’ün bir alt kümesi olan Archipelago’nun çalışmalarını ortaya çıkardı.

APT43 KİMDİR?

Kimsuky veya Thallium olarak da bilinen APT43, Kuzey Kore rejiminin çıkarlarını destekleyen bir siber tehdit aktörü olarak biliniyor.

Kuzey Kore’nin ana yabancı istihbarat servisi RGB ile uyumlu olarak çalışan APT43, kimlik avı saldırıları düzenleyerek stratejik istihbarat toplamaya çalışıyor.

ARCHIPELAGO KİMDİR?

TAG raporunda çalışmaları analiz edilen Archipelago’nun APT43’ün bir alt kümesi olarak izlendiği ifade edildi.

Rapora göre Archipelago, Güney Kore ve ABD başta olmak üzere hükûmet, askerî personel, düşünce kuruluşları, politikacılar, akademisyenler ve araştırmacıları hedef alıyor.

Ayrıca raporda kimlik avı saldırılarından zararlı Chrome uzantılarına kadar çeşitli taktikler uygulayarak hedeflerini kandırmaya çalışan grubun bunlara ek olarak gazeteci kılığında davrandığı paylaşıldı.

GAZETECİ KILIĞINA GİRİYORLAR

TAG araştırmacıları, Archipelago’nun genellikle bir medya kuruluşu veya düşünce kuruluşunun temsilcisi gibi davrandığını ve Kuzey Kore uzmanlarından bir röportaja katılmalarını istedikleri kimlik avı e-postaları gönderdiğini belirtti.

Söz konusu e-postalar, kurbanları sözde onları röportaj sorularına götürecek bir bağlantıya tıklamaya teşvik ediyor. 

Kurbanlar, Google parolalarının girilmesinin istendiği ve grubun klavye vuruşlarını izleyebildiği bir kimlik avı sitesine yönlendiriliyor.

Şifre girildikten sonra kurbanlar, sorular ve diğer bilgilerin yer aldığı bir Google dokümanına yönlendiriliyorlar.

Söz konusu raporda ayrıca Archipelago üyelerinin, hedeflerine saldırmadan önce kurbanlarla bağ kurmaya çalıştığı ve zararlı bağlantı ya da dosyayı göndermeden önce günler ya da haftalar boyunca kurbanlarla e-postalaştıkları belirtildi.

ZAMAN İÇERİSİNDE GELİŞTİLER

Araştırmacılar, Archipelago aktörlerinin kimlik avı taktiklerini zaman içinde geliştirdiklerini ve Google hesabı güvenlik uyarısı e-postaları gibi görünen oldukça standart mesajlardan daha sofistike taktiklere geçtiklerini vurguladı.

Raporda Archipelago’nun zararlı yazılım dağıtmak için farklı yollar bulmaya devam ettiği ifade edilirken siber suçlular tarafından kullanılan teknikleri benimsediğinin de altı çizildi.

Zararlı yazılım dağıtmak için ISO dosyaları kullanan Acrhipelago’nun, “Interview_with_Voice_of_America” başlıklı bir ISO dosyasıyla BabyShark zararlı yazılımı dağıttığı belirtildi.

CHROME UZANTILARI KULLANIYORLAR

Rapora göre Archipelago 2018 yılına kadar kullanıcı adlarını, şifreleri ve tarayıcı çerezlerini çalmak için zararlı Chrome uzantıları kullandı. 

Grubun son zamanlarda kurbanlarını “Sharpext” olarak bilinen zararlı Chrome uzantısını indirmeye teşvik ettiği belirtilirken grubun Chrome uzantılarının sık sık kötüye kullanımı nedeniyle Google’ın, uzantı sisteminde önemli değişiklikler yapmak zorunda kaldığı paylaşıldı.