Kaspersky, tanınmış APT grubu Crouching Yeti’nin kullandığı altyapıyı dünyanın dört bir yanında ele geçirilmiş sunucularıyla birlikte ortaya çıkardı.
Yapılan araştırmada, başka kaynaklara erişmek amacıyla 2016’dan bu yana birçok ülkede sayısız sunucunun saldırıya uğradığı belirtildi. Rus web sitelerinin yer aldığı diğer sunucular ise tuzak olarak kullanıldı.
Crouching Yeti, Kaspersky Lab’in 2010’dan beri takip ettiği, Rusça konuşan kişilerden oluşan bir gelişmiş kalıcı tehdit (APT) grubu. Tüm dünyada başta enerji tesisleri olmak üzere endüstriyel sektörleri hedef almasıyla bilinen grup, hedef sistemlerden değerli verileri çalmayı amaçlıyor. Grubun sıkça kullandığı tekniklerden biri ise hedeflenen kurumlarda çalışanların sık ziyaret ettikleri web sitelerini ele geçirerek tuzak kurmak. Saldırganlar bu sitelere bağlantı ekleyerek ziyaretçileri kötü amaçlı sunucuya yönlendiriyor.
Kaspersky Lab yakın zaman önce, grup tarafından ele geçirilmiş çok sayıda sunucu keşfetti. Bu sunucuların Rusya, ABD, Türkiye ve Avrupa’daki farklı kurumlara ait olduğu belirlendi. Kurumlar arasında yalnızca endüstriyel şirketlerin olmadığı da tespit edildi. Araştırmacılara göre bu sunucular 2016 ve 2017 yıllarında farklı amaçlarla saldırıya uğradı. Sunucuların tuzak kurmanın yanı sıra başka kaynaklara saldırı düzenlemek için aracı olarak da kullanıldığı ortaya çıktı.
Saldırıya uğrayan sunucuların analizinde araştırmacılar Rusya, ABD, Avrupa, Asya ve Latin Amerika’da kurumların kullandığı çok sayıda web sitesi ve sunucunun, saldırganlar tarafından muhtemelen gerekli araçları saklayıp sonrasında saldırıyı gerçekleştirmek için kullanılabilecek bir sunucu bulmak için çeşitli araçlarla tarandığını belirledi. Taranan sitelerin bazıları, tuzak olarak kullanılmak için saldırganların dikkatini çekmiş olabilir. Saldırganların ilgilendiği web sitelerinin ve sunucuların kapsamı ise oldukça geniş. Kaspersky Lab araştırmacıları, saldırganların farklı türlerden çok sayıda web sitesini taradığını keşfetti. Bu web siteleri arasında internet mağazaları ve hizmetleri, kamu kurumları, STK’lar ve üretimle ilgili siteler yer alıyor.
Uzmanlar ayrıca grubun, sunucu analizi ve bilgi toplama amacıyla tasarlanan zararlı araçlar kullandığını da ortaya çıkardı. Ek olarak, önceden yüklenmiş arka kapıya sahip değiştirilmiş bir sshd dosyası da keşfedildi. Bu dosya, orijinal dosyanın yerini alıp bir ‘ana parola’ ile yetki alabiliyor.
“Crouching Yeti, Rusça konuşan kişilerden oluşan ve uzun yıllardır etkin olan tanınmış bir grup. Tuzak kurma ve diğer teknikleri kullanarak endüstriyel kurumları başarıyla hedef almaya devam ediyorlar. Elde ettiğimiz bulgulara göre grup, sunucuları yalnızca tuzak kurmak için değil ayrıca daha kapsamlı tarama yapmak için de ele geçirmiş. Bunu yaparken de kendilerini tanımamızı zorlaştıran açık kaynaklı araçları etkin bir biçimde kullanmışlar.” diyen Kaspersky Lab ICS CERT Açık Araştırma Grubu Lideri Vladimir Dashchenko, sözlerini şöyle sürdürdü:
“Grubun ön bilgi toplama, kimlik doğrulama verilerini çalma ve kaynak tarama gibi aktiviteleri daha sonra düzenlenecek saldırılar için kullanılmış. Ele geçirilen sunucuların ve taranan kaynakların çeşitliliği ise grubun üçüncü tarafların talepleri üzerine hareket etmiş olabileceğini gösteriyor.”
