SİBER ESPİYONAJ FAALİYETLERİ VE TÜRKİYE Türkiye, finansal amaçlı yapılan saldırıların yanı sıra konumu itibariyle Siber Espiyonaj faaliyetlerinin de hedefi oluyor. Özellikle bölgesel dinamiklerin ve politik durumların da etkisiyle, günden güne çevre ülkelerin bu alanda hedefi haline geliyor. Aşağıda yer alan ve Iran tarafından gerçekleştirilen espiyonaj faaliyeti de sadece bunlardan bir tanesi. Bir kaç gün önce güvenlik firmalarının radarına takılan ve Iran menşeli olduğu belirlenen yeni bir Siber Espiyonaj faaliyeti keşfedildi. Söz konusu faaliyet ve saldırıların hedefleri arasında Katar, Suudi Arabistan gibi ülkelerin yanı sıra Türkiye de yer alıyor. Saldırı giriş noktası olarak oltalama tekniklerinden faydalanıyor ve hedeflenen kurum çalışanlarına bu şekilde ulaşıyor. Aşağıda yer alan ekran görüntüsünden de anlaşılacağı üzere saldırının hedefleri arasında Türkiye den özel sektör ve kamu kuruluşları da yer alıyor. Saldırı incelendiğinde özellikle devlet kurumlarının ve havayolu şirketlerinin hedef alındığı görülüyor. Bir mail eklentisi olarak gelen MS Office / Excel dosyası açıldığında, dosyanın zararlı bir Makro içerdiği ve bu Makro içeriğinin analiz edilmesini engellemek adına şifrelendiği görülüyor. 1
MS Office Excel dosyası içerisinde yer alan ve şifre ile gizlenen içerik deşifre edildiğinde, disk üzerine komisova.vbs isimli dosyanın yazıldığı, ve ayrıca Excel dosyası içerisinde yer alan içeriğin herhangi bir karmaşıklaştırma işlemine tabii edilmediği görülüyor. Analiz edildiği an itibariyle Excel dosyası ile gelen ve disk üzerine oluşturulan VBS dosyası sadece 2 anti-virüs tarafından tespit edilebiliyor. VBS dosyası ve tespitlere ait sonuçlar aşağıda görüldüğü şekildedir. 2
Excel dosyası açıldığı anda \USERS\Public\Libraries dizini içerisine oluşturulan komisova.vbs isimli dosya, yine Makrolar sayesinde schtaskts komutu ile Planlanmış Görev olarak sistem üzerinde GoogleUpdateTaskReport ismiyle tanımlanıyor. Dosya görev olarak eklendikten sonra her iki dakikada bir çalıştırılıyor. 3
Sistem üzerine scheduled task olarak eklenen komisova.vbs isimli dosya her çalıştığında arka planda hxxp://googleupdate.download isimli web sitesine bağlantı gerçekleştirdikten sonra, aynı dizine indirilen PowerShell betiği de çalıştırılıyor. Komisova.vbs isimli dosya aracılığı ile yukarıda belirtilen adresten indirilen komisova.ps1 isimli PowerShell betiği komuta kontrol sunucusuna (C2) bağlanmak için HTTP/HTTPS yerine DNS isteklerinden faydalanıyor. Bununla ilgili kod bloğu aşağıda yer almaktadır. Tıpkı VBS dosyasında olduğu gibi komuta kontrol sunucusu ile iletişimi sağlayan PowerShell betiği anti-virüsler ile taratıldığında sadece 4 anti-virüsün yakaladığı gözlemleniyor. Sonuçlara dair tespitlerin yer aldığı ekran görüntüsü aşağıda yer almaktadır. 4
Saldırıda kullanılan domain whois bilgileri, tehdit ağı sorgularımızda bu sample dosyalarla ile ilişkili diğer domainler ve zararlı yazılımlarda geçen Farsça kelimeler, saldırının arkasındaki aktörlerin İranlı olduğunu düşündürmektedir. Ancak yine de bu tarz verilerin zararlı yazılımlarda, misdirection/yanlış yönlendirme için kullanılmış olabileceğini de unutmamak gerekir. 5
Aşağıda yer alan ekran görüntüsü saldırı anına aittir. TRAPMINE ın zararlı içeriğe sahip dosya açılır açılmaz aldığı aksiyon görülmektedir, saldırının ikinci aşamasına geçilmeden yani C2 sunucu ile iletişim kurulmadan saldırı başarı ile engellenmektedir. Mail Eklentileri: users.xls = c4e9e8e450934be3ede23d1c06c6ed61 de askeri darbe.xls = caa37b26abaa3f9c45169186d302fc42 Symantec-Worst Passwords List 2016.xls = bbdb2ee0c172f35e6e23a88a5f5b39c0 Special Offers.xls = f76443385fef159e6b73ad6bf7f086d6 Betikler: komisova.vbs = eaecffe8adf1135908461599d734f5e2 komisova.ps1 = 27aa6a6d3cbb2ecee80acb03bdf015ec Alan Adları: googleupdate.download microsoft-kernels-pdate.net mydomain1609.com go0gie.com windowsupdates.me 6
TRAPMINE Hakkında TRAPMINE, kurumları gelişmiş siber saldırılara ve zero-day ataklara karşı koruma amacıyla üretilen yerli bir üründür. 2015'in ilk çeyreğinde Cybersecurity 500 listesine giren iki Türk şirketinden biridir. Aynı zamanda Cisco, Intel ve Deutsche Telekom tarafından en iyi 100 ürün arasında gösterilmiştir. TRAPMINE, imza ve güncelleme gerektirmeyen teknolojisiyle istemcileri hedef alan gelişmiş saldırılara karşı etkin koruma sağlamaktadır. Patent bekleyen teknolojisi ile istemci taraflı bilinen ve bilinmeyen zafiyetlere ve zafiyet kaynaklı zararlı yazılımlara karşı %100 koruma sağlar. twitter.com/trapmine linkedin.com/company/trapmine youtube.com/trapmine 7