Etiket arşivi: İran

Dijital Güvenlik

İranlı hackerlar Ortadoğu uzmanlarını ve gazetecileri hedef aldı

Yorum yapın

İranlı hackerlar Ortadoğu uzmanlarını ve gazetecileri hedef aldıİran devletine bağlı hareket eden bir hacker grubu, gerçekleştirdiği bir sosyal mühendislik saldırısı ile hassas bilgilere ulaşmak için düşünce kuruluşlarını, gazetecileri ve profesörleri hedef aldı.

Grup üyeleri Londra SOAS Üniversitesi olarak bilinen University of London’s School of Oriental and African Studies’in akademisyenleri gibi davranarak kurbanlarını hedef aldı.  

DEVRİM MUHAFIZLARINA İSTİHBARAT SAĞLADIKLARINDAN ŞÜPHELENİLİYOR

Kurumsal güvenlik firması Proofpoint, “Operation SpoofedScholars” adı verilen saldırının APT35 (FireEye), Charming Kitten (ClearSky) ve Phosphorous (Microsoft) takma adlarıyla da bilinen “TA453” adlı gelişmiş kalıcı tehditle bağlantılı olduğunu bildirdi. Devlete bağlı siber savaş grubunun İslam Devrim Muhafızları Birliği (IRGC) adına istihbarat çabaları yürüttüğünden şüpheleniliyor.

Araştırmacıların Hacker News ile paylaştıkları bilgiye göre tespit edilen hedefler arasında düşünce kuruluşları, Ortadoğu uzmanları, ünlü akademik kuruluşlar, kıdemli profesörler ve Ortadoğu konusunda uzmanlaşmış gazeteciler bulunuyor.  

KURBANLARI SAHTE WEBINAR’A KAYDOLMAYA YÖNLENDİRDİLER

İngiliz akademisyenler gibi davranan saldırganlar son derece seçici bir şekilde belirlenen kurbanlarının Google, Microsoft, Facebook ve Yahoo’dan çeşitli kimlik bilgilerini elde etmek için tasarlanmış bir linke tıklamalarını sağlamayı amaçlıyordu. Söz konusu link, kurbanları sözde çevrimiçi bir konferansa kaydolmaya yönlendiriyordu. 

Linke meşru ve gerçek bir hava katmak için Londra SOAS Üniversitesi Radyosu’na ait gerçek fakat gizliliği ihlal edilmiş bir web sitesi üzerinde “kimlik bilgilerini avlama altyapısı” oluşturuldu. 

Rusya’nın sinyal krallığı ile İsrail’in siber casusluk şirketleri arasında Türk İHA’ları

Araştırmacılar, TA453’ün kötü amaçlı bağlantıları sağlamaya yönelik olarak SOAS’a bağlı meşru kuruluşları gibi davranan girişimlerden faydalanmak suretiyle kimlik bilgisi toplama girişiminin güvenilirliğini artırdığını söylüyor. Ayrıca TA453’ün hedefteki kişilerin webinara, grup çevrimiçi iken kayıt olmaları yönünde ısrarcı olması, saldırganların elde edilen kimlik bilgilerinin doğrulanmasını manuel olarak yaptıkları ihtimalini güçlendiriyor.  Saldırıların, grubun daha sonraki e-posta kimlik avı taktiklerini değiştirmeden önce, Ocak 2021 tarihinde başladığına inanılıyor.

Bu, tehdit aktörlerinin gerçekleştirdiği ilk kimlik avı saldırısı değil.  Bu mart ayının başlarında Proofpoint, İsrail ve ABD’de genetik, nöroloji ve onkoloji araştırmalarında uzmanlaşmış üst düzey tıp uzmanlarını hedef alan bir “BadBlood” kampanyasını açığa çıkardı. 

ÜNİVERSİTEYE BAĞLI RADYONUN WEB SİTESİNİ KULLANDILAR

Londra SOAS Üniversitesi Sözcüsü, Hacker News’e yaptığı açıklamada şu değerlendirmelerde bulundu.

“Hackerlerın akademisyen gibi davranmak üzere Gmail hesapları oluşturduğunu ve hedefledikleri kişilerden veri toplamak için sahte bir site oluşturduğunu görüyoruz. Bu sahte sayfa, SOAS merkezli bağımsız bir çevrimiçi radyo istasyonu ve prodüksiyon şirketi olan SOAS Radio’nun web sitesine yerleştirildi. Web sitesi resmi SOAS web sitesinden ayrıdır ve akademik alanlarımızın hiçbirinin bir parçası değildir. Hedefin SOAS’IN kendisi değil, dışarıdan bireyler olduğunu anlıyoruz. SOAS’taki akademik personelin bu saldırı süreciyle bir ilgisi bulunmamaktadır ve de SOAS personeli tarafından yapılan herhangi bir eylem veya açıklama saldırganların bu şekilde davranmasına yol açmamıştır. Ayrıca herhangi bir SOAS personeli tarafından siber güvenliğin ihlal edildiğine dair bir bilgi bulunmamaktadır. Sahte sitenin oluşturulmasıyla ilgili olarak, SOAS’tan hiçbir kişisel bilgi alınmadı ve veri sistemlerimizin hiçbiri (personel ve öğrenci kayıtları, finansal bilgiler, e-postalar vb.) ne bu olaya dahil oldu ne de bu saldırıdan etkilendi.  Ana sistemlerimizin siber güvenliği sağlam durumdadır ve amacına uygun şekilde devam etmektedir. Bu yılın başlarında sahte sitenin farkına varır varmaz güvenlik ihlalini hemen giderdik.  Bunun nasıl gerçekleştiğini gözden geçirdik ve bu tür çevresel sistemlerin korunmasını daha da geliştirmek için adımlar attık.”

Dijital Güvenlik

İranlı mesajlaşma uygulamasının verileri silindi

Yorum yapın

İran’ın en popüler startup’larından biri olarak kabul edilen Raychat mesajlaşma uygulamasının milyonlarca kullanıcısının verilerini çaldırdığı ortaya çıktı.

Ülkede kurulan bir startup’ın maruz kaldığı siber saldırının sonucunda milyonlarca kullanıcının verileri çalındı ve imha edildi. Yaşanan aksaklık, saldırganların internette güvenli olmayan veri tabanları aradığı ve verilerini çalmak veya yok etmek için saldırı düzenlediği bir trendin parçası olarak görülüyor.

2017 yılında kurulan ve iş ve sosyal mesajlaşma uygulaması olarak adından söz ettirmeyi başaran Raychat, satış ve müşteri hizmetleri için uygulamayı kullanan işletmeler ve web siteleri ile ortaklıklar kurmaktaydı. Birkaç yıl önce İran’ın İpek Yolu Startup Zirvesi’nde ve ayrıca startup’ları sosyal katılımları ve diğer bazı ölçütlere göre değerlendiren bir web sitesi tarafından öne çıkarılan uygulama ülkenin en popüler startup’larından biri olarak kabul ediliyor.

Ancak yakın zamana kadar şirket, kullanıcı verilerini yanlış yapılandırılmış bir MongoDB veritabanında saklıyordu. MongoDB, uygulama şirketleri tarafından büyük hacimli kullanıcı verilerini işlemek için sıklıkla kullanılan bir tür depolama uygulaması olan bir NoSQL veri tabanı. Ancak, yanlış yapılandırıldığında NoSQL’ler milyonlarca belgeyi savunmasız bırakabiliyor. Buradaki durumda, kötü amaçlı bir oyuncu Raychat’ın sistemine girmeyi başardı ve şirketin veri tabanını yok edecek bir bot saldırısı düzenledi. Saldırı, güvenlik araştırmacısı Bob Diachenko tarafından ortaya çıkarıldı.

BİRÇOK NOSQL VERİTABANI SALDIRIYA AÇIK HEDEF

Diachenko, internete bağlı cihazları aramak için kullanılan Shodan gibi açık kaynaklı arama araçlarını kullanarak bir güvenlik açığıyla karşılaştığını söyledi. Diachenko, Twitter’da Mongo gibi bir çok NoSQL veri tabanının “interneti açık ve korumasız veritabanları için tarayan ve içeriklerini sadece bir fidye notu bırakarak silen kötü niyetli aktörler tarafından gerçekleştirilen bot saldırıları için hedef olduğunu” söyledi. Comparitec’in bir raporu, orijinali yok etmeden önce büyük veri hazinelerini kazımak ve indirmek için botnet’lerin nasıl kullanıldığını açıklıyor:

Hackerlar, sunucudaki verileri değiştiren ve/veya imha eden kötü niyetli talepleri kullanır. Birçok durumda, veriler saldırgan tarafından silinmeden önce indirilir. Saldırgan daha sonra verilerin güvenli bir şekilde geri alınması için fidye talep eden bir not bırakır.

Hindistan ordusundan yerli ve ‘güvenli’ mesajlaşma uygulaması

Diachenko, Raychat olayında 0.019 bitcoin (mevcut döviz kurlarında yaklaşık 919$) talep eden bir BENİ OKU fidye notunun ortaya çıktığını söylüyor. Uygulama verilerinin büyük bir kısmının yok edilmeden önce indirilmiş olmasının mümkün ancak düşük ihtimal olduğunu ve bu vakaların çoğunda, hackerların “kopyaladıklarını iddia ettiği tüm verileri saklamasının teknik olarak mümkün olmadığını” söylüyor.

Diachenko şirkete ulaşsa da başlangıçta cevap alamadığını belirtiyor. Araştırmacının bulgularını Twitter üzerinden paylaşmasının ardından, Raychat yaşanan veri ihlalini hemen kabul etti. Aynı zamanda bir bot saldırısının kurbanı olduğunu da açıkladı. Şirket, web sitesinde Diachenko’nun tweet’lerine atıfla bir açıklama yayımladı ve yaşanan ihlalden ötürü kullanıcılardan özür diledi. Açıklamada, “Şimdiye kadar bilgi sızıntısına dair bir kanıt yok.” ifadesine yer verildi. Saldırının ihlalin fark edilmesinden çok kısa bir süre sonra gerçekleştiği tahmin ediliyor.

PAROLALARI DEĞİŞTİRMEK GEREKİYOR

Kurucu ortak Ghader Sadeghi, Diachenko’nun ihlalin niteliğini değerlendirmede kendilerine yardımcı olduğunu doğruladı ve araştırmacının MongoDB yanlış yapılandırmasını belirleme konusunda kendilerine yardımcı olduğunu belirtti. Şirket, kullanıcı verilerinin yedeklendiğini ve kısa süre içinde geri yükleneceğini belirtirken, Sadeghi hukuk biriminin konuyu araştırdığını söyledi.

Şirket personelinin muhtemel kimlik avı girişimleri konusunda endişeli olduğu anlaşılıyor. 31 Ocak tarihinde atılan bir tweet’te şirket şu uyarıda bulundu: “Parolalarını değiştirmeleri için tüm Reichet [Raychat] kullanıcılarına bir e-posta gönderdik. Bu e-postada parolayı değiştirmek için bir bağlantı yok. Parola değiştirme bağlantısı içeren bir e-posta alırsanız, tıklamayın.” Aralık ayında atılan tweetlere göre de şirketin son zamanlarda farklı bir siber saldırıya daha maruz kaldığı anlaşılıyor.

2012 ile 2016 arasındaki dönemde görece olumlu gelişmeler kaydeden İran’ın startup ekosistemi şu anda ABD yaptırımları ve COVID-19 nedeniyle kırılgan bir durumda. Maruz kalınan siber saldırılar durumu startup’lar için daha zor hale getiriyor.

disinformation

ABD, dezenformasyon yaptığı için İran destekli web sitelerine el koydu

Yorum yapın

ABD’nin haziran ayının sonlarında İran’ın destek verdiği 36 web sitesine dezenformasyon ve propaganda suçlamasıyla el koyması ifade özgürlüğü ve devlet egemenliğinin ihlaline ilişkin yeni bir tartışma başlattı. 

22 Haziran’da ABD Adalet Bakanlığı yaptığı açıklama ile 36 websitesinin kontrolünü ele geçirdiğini duyurdu. İran İslami Radyo ve Televizyon Birliği (IRTVU) Iraklı Şii paramiliter grubu Haşdi Şabi’nin bir parçası olan Hizbullah Tugaylarına (Kata’ib Hizballah) ait web sitelerine yönelik operasyon mahkeme kararıyla ve ABD yaptırımlarının ihlal edildiği gerekçesiyle yapıldı. 

Kapatılan web sitelerinin medya organizasyonu görünümü altında İran hükümetinin emrinde çalıştıkları dezenformasyon ve etki operasyonları ile ABD’yi hedef aldıkları ifade edildi. 

ABD, IRTVU’yu geçtiğimiz yıl İran Devrim Muhafızlarının özel kuvvetler gücü olan Kudüs Gücü tarafından kontrol edildiği gerekçesiyle yaptırımların kapsamına dahil etmişti. Kuruma yönelik suçlamalar arasında ABD Başkanlık Seçimlerinde Amerikalı seçmenleri yönlendirme amaçlı online dezenformasyon kampanyası yürütme de bulunuyor.  

Amerikan kolluk kuvvetleri daha önce de dark web’deki siber suç forumları ile ilişkili olan web sitelerini ele geçirmişti. 

GEREKÇE ABD’DEN DOMAİN HİZMETİ ALMAK

Yaptırım kapsamında yer alan kurumların özel bir lisansa (OFAC lisansı) sahip olmadan ABD’den web site ve domain hizmetleri de dahil olmak üzere herhangi bir hizmet almaları yasak. IRTVU’nun kontrolünde olan 33 web sitesinin bir ABD’li firmadan domain hizmeti aldığı fakat bu kurumun OFAC lisansına sahip olmadığı belirlendi. 

İran devletinin sahibi olduğu İngilizce yayın Press TV ve Arapça yayın yapan Al-Alam TV başta olmak üzere birçok İran bağlantılı web sitesine girenler, sitenin FBI ve ABD Ticaret Bakanlığı tarafından ele geçirildiğini gösteren bildirile karşılaştı. Kapatılan web sitelerinin bir kısmı açıkça İran propagandası yapsa da Press TV gibi medya kurumlarının da operasyondan etkilenmesi dikkat çekti. İngilizce yayın yapan ve daha çok dış politika konularına yer veren Press TV geçtiğimiz günlerde İran ile P5+1 ülkeleri arasındaki nükleer müzakerelere katılmış diplomatlar ile röportajlar yayınlamıştı. 

ABD, İranlı dezenformasyon sitelerini tespit edip ele geçirdi

Amerikan dış politikasını eleştiren bir tutum sergileyen Press TV, daha önce de Google, Instagram ve Twitter gibi platformlarda benzer sansür uygulamalarına maruz bırakıldığını açıklamışı.

DEVLET EGEMENLİĞİ İHLALİ SAYILIR MI?

Beyrut merkezli yayın yapan Al-Masirah sitesi de ABD tarafından ele geçirilen web siteleri arasında yer alıyor. Al-Masirah, Yemen’de faaliyet gösteren İran destekli Huti milisleri lehine yayınlar yapıyordu. ABD’nin üçüncü bir ülkede yayın yapan web sitesini ele geçirerek yayınlarını terör propagandası yapması gerekçesiyle durdurması başka bir devletin egemenlik alanındaki siber bir varlığa operasyon yapmasının ne kadar hukuki olduğuna dair soru işaretlerini de gündeme getirdi. 

Öte yandan Haşdi Şabi’nin bir kolu olan Hizbullah Tugayları’nın yönetimindeki 3 web sitesi de ABD tarafından benzer gerekçelerle ele geçirildi. İran’ın Irak’ta faaliyet gösteren Haşdi Şabi’ye destek verdiği biliniyor. Irak’ta konuşlu Koalisyon Güçleri ve Irak güvenlik güçlerini hedef alan terör saldırılarını düzenleyen Haşdi Şabi, ABD tarafından 2009 yılında yaptırım listesine eklenmişti. Hizbullah Tugayları’na ait web sitelerinin de ABD’li bir firmadan domain hizmeti aldığı tespit edildi. 

Uluslararası İlişkiler

İranlı saldırgan eski İsrail Genelkurmay Başkanını hackledi

Yorum yapın

İran destekli bir siber saldırganın eski bir İsrail Genel Kurmay Başkanının bilgisayarındaki verileri sızdırdığı ortaya çıktı.

Times of Israel’in haberine göre, İran hükümetinin anlaştığı bir siber saldırganın eski İsrail Genelkurmay Başkanının bilgisayarına sızarak veritabanına erişim sağladı.

Yaser Balaghi adlı tehdit aktörü söz konusu saldırıya ilişkin övünürken farkında olmadan kimliğine ilişkin bir iz bıraktı.

İran’ın operasyonla İsrail ordusunun generallerini, insan hakları savunucuları ve bazı akademisyenlerin de bulunduğu 1800 kişiyi hedef aldığı belirtiliyor.

Habere göre saldırganın kendini ele vermesi sonrası Tahran yönetimi siber operasyonu bitirmek zorunda kaldı.

İsrailli yazılım firması Check Point’in CEO’su Gil Shwed, geçtiğimiz ocak ayı sonlarında İsrail Radyosuna verdiği röportajda saldırının iki ay önce başladığını ve hedef bilgisayarlara zararlı yazılım içeren e-postalar aldıklarını belirtmişti.

İranlı hackerlar, fidyeci gibi davranıp İsrail’den veri çalıyor

Shwed, alıcıların dörtte birinden fazlası e-postaları açtığını, istemeden casus yazılım indirdiğini ve sabit disklerinden veri çalınmasına izin vermişti.

Son iki yılda İsrail’e karşı birkaç kez siber saldırı düzenlendi. Yetkililere göre, sızma saldırılarının bir kısmı Hizbullah ve İran hükümetiyle bağlantılı hackerlar tarafından düzenlendi.

Kaynak: Times of Israel

Uluslararası İlişkiler

İranlı hackerlar, fidyeci gibi davranıp İsrail’den veri çalıyor

Yorum yapın

Petrol devi Saudi Aramco’ya yönelik 2012 tarihinde on binlerce bilgisayarı devre dışı bırakan hackleme olayından bu yana, İranlı operatörlerin orta doğudaki kuruluşlara karşı düzenli olarak veri silme araçlarıyla saldırdıkları iddia edildi. 

Araştırmacılara göre, bu gruplardan biri şimdilerde İsrailli kuruluşlara karşı bir dizi veri silme saldırısının kaynağını gizlemek amacıyla fidye yazılımı operatörü gibi davranıyor. Hackerlar, dağıttıkları kodun verilere yeniden ulaşmak bir yana onları sildiğinde dahi ücret talep ediyorlar.

Güvenlik firması SentinelOne tarafından salı günü yayımlanan bulgular, İran bağlantılı bazı hacker gruplarının çıkarlarını daha ileri bir boyuta taşımak adına maddi motivasyonla hareket eden suçluların kullandığı taktiklere yöneldiğini ortaya koyuyor. 

Sentinelone’da tehdit istihbarat araştırmacısı olarak görev yapan Amitai Ben Shushan Ehrlich, “Fidye yazılımını devreye sokmak, saldırganların bu eylemlerin tüm sorumluluğunu üstlenmeden yıkıcı faaliyetlerde bulunmalarına izin veren, yıkıcı bir eylemdir.” diyor.

İRANLI ŞİRKETLER FİDYE YAZILIMINA YÖNELDİ

SentinelOne, hackleri Agrius olarak adlandırdığı “İran’a bağlı” bir grup ile ilişkilendiriyor. Araştırma, İranlı devlet kuruluşlarının fidye yazılımlarıyla ilgilenmeye giderek daha istekli olduklarına dair diğer kanıtların ortaya atıldığı bir dönemde gerçekleştirildi.

Tehdit istihbaratı firması Flashpoint’e göre, son dönemde sızan belgeler İran İslam Devrim Muhafızları Birliği’nin bir yüklenici firma aracılığıyla bir fidye yazılımı saldırısına dahil olduğunu ortaya koyuyor. 

İran hükümeti düzenli olarak siber saldırılarla ilgili kendilerini hedef alan iddiaları reddediyor. İran’ın Birleşmiş Milletler Misyonu, araştırma hakkında yorum yapmayı reddetti.

Söz konusu iddia devletin fidye yazılımı gibi davranan bir “veri silme” aracı kullandığına dair dile getirilen ilk iddia değil. 2017 yılında, NotPetya kötü amaçlı yazılımları onlarca ülkeye yayılmış ve ilaç, nakliye ve diğer sektörleri milyarlarca dolar zarara uğratmıştı. ABD ve İngiltere hükümetleri, söz konusu faaliyetlere ilişkin olarak Rusya’yı suçlamıştı.

İLK OLARAK VERİ SİLME ARACINI DEVREYE SOKUYORLAR

SentinelOne tarafından takip edilen hacklemeler, bir yıldan fazla bir süredir isimsiz İsrail kuruluşlarını hedef aldı. Firmaya göre kampanyanın başlarında, saldırganlar bir ağdaki dosyaları silmek ve kurbanların sistemlerini yeniden inşa etmelerini zorlaştırmak için tasarlanmış bir veri “sileceği” devreye soktular.

Araştırmacılara göre, daha sonraki hacklerde, operatörler “sileceği” Birleşik Arap Emirlikleri’ndeki devlete ait bir denizcilik tesisine karşı kullanılan “tamamen işlevsel bir fidye yazılımına” dönüştürdü.

Araştırma, İran ve İsrail’in birbirlerine karşı yürüttüğü hackleme operasyonlarına dair kanıtların giderek daha fazla kamuoyunun görüşüne girdiği bir zamanda geldi. Güvenlik firması Proofpoint Mart ayında yaptığı açıklamada, İranlı bilgisayar korsanlarının İsrail ve ABD’deki bir grup tıbbi araştırmacının e-posta hesaplarına girme operasyonlarının bir parçası olarak tanınmış bir İsrailli fizikçi gibi davrandıklarını açıkladı.

İsrail firması Clearsky’nin kıdemli siber istihbarat araştırmacısı Ohad Zaidenberg, İranlı hackerların son aylarda İsrail kuruluşlarını hedef alan çok sayıda etki operasyonu gerçekleştirdiğini söyledi. Zaidenberg, “İsrailli firmalardan çalınan verilerin çevrimiçi olarak sızdırılması da buna dahil” diyor.