ESET Yeni Bir Casusluk Yazılımını Ortaya Çıkardı

ESET araştırma takımının datalarına nazaran bir watering hole (su kaynağı) saldırısı, Hong Kong'daki demokrasi yanlısı radyo istasyonunun haber web sitesine sızdı. Saldırganlar, siteyi ziyaret edenlerin Mac bilgisayarlarına DazzleSpy makûs gayeli siber casusluk yazılımını kuran bir Safari programı kullanıyor. Maksatların Hong Kong'daki muhtemelen politik açıdan faal, demokrasi yanlısı bireyler olduğu düşünülüyor. Güvenlik açığı, iPhone XS ve daha yeni modeller üzere aygıtlar dahil olmak üzere iOS'da da yer alıyor. DazzleSpy yükü, birçok siber casusluk hareketini gerçekleştirebiliyor. ESET Araştırma Ünitesi, bu operasyonun ardındaki kümenin güçlü teknik maharetlere sahip olduğunu belirtiyor.

ESET araştırmacıları, siteyi ziyaret edenlerin Mac bilgisayarlarına makus hedefli siber casusluk yazılımını kuran bir Safari programı yerleştirmek üzere Hong Kong demokrasi yanlısı radyo istasyonu D100'ün haber web sitesinin ihlale uğradığını keşfetti. Sitenin güvenlik açığına sahip ziyaretçilerine sızan makûs gayeli yazılım, ESET'in DazzleSpy olarak isimlendirdiği, yeni bir macOS berbat gayeli yazılım. Berbat emelli kod, geniş bir yelpazede hassas ve ferdî bilgi toplayabilme özelliğine sahiptir.

macOS'ta kullanılan Safari web tarayıcılarını gaye alan su kaynağı hücumları ile ilgili birinci rapor, Google tarafından geçtiğimiz Ekim ayında yayınlandı. ESET araştırmacıları, Google ile tıpkı anda atakları araştırıyordu; amaçlar ve kurbanların işletim sistemlerine sızmak için kullanılan makus hedefli yazılım ile ilgili öteki detayları da ortaya çıkardılar. ESET, Google takımı tarafından tanımlanan yamanın hücumlarda kullanılan Safari güvenlik açığını onardığını onayladı.

Su kaynağı saldırısını araştıran Marc-Étienne Léveillé bu bahiste şöyle diyor: "Tarayıcıda kod yürütmeye imkan sağlayan program epeyce karmaşık ve 1.000 satırdan fazla kod içeriyor. Kimi kodların, güvenlik açığının iPhone XS ve daha yeni modeller üzere aygıtlar dahil olmak üzere iOS'da da yer aldığını göstermesi enteresandır."

Bu kampanya 2020 yılında gerçekleşen ve LightSpy iOS makûs emelli yazılımın tıpkı biçimde dağıtıldığı kampanyayla benzerlikler taşıyor. Bu kampanyalarda Hong Konglu vatandaşları bir WebKit programına yönlendirmek üzere web sitelerinde çerçeve enjeksiyonu kullanılıyor. 

DazzleSpy yükü, birçok siber casusluk hareketini gerçekleştirebiliyor. İhlale uğrayan bilgisayar hakkında bilgi toplayabiliyor. Aşikâr belgeleri arayabiliyor; Masaüstü, İndirilenler ve Evraklar klasörlerindeki evrakları tarayabiliyor; verilen kabuk komutlarını yürütebiliyor; uzaktan bir ekran oturumu başlatabiliyor yahut sonlandırabiliyor. Verilen bir belgeyi diske yazabiliyor. 

Bu kampanyada kullanılan programların karmaşıklığı göz önüne alındığında, ESET Araştırma Ünitesi, bu operasyonun gerisindeki kümenin güçlü teknik maharetlere sahip olduğu sonucuna vardı. Ayrıyeten DazzleSpy'da uçtan uca şifreleme bulunmasının, şifrelenmemiş transferi birinin gizlice izlemeye çalışması durumunda komuta ve denetim (C&C) sunucusuyla bağlantıya geçmeyeceği manasına gelmesi de farklı bulundu.

Bu tehdit aktörüyle ilgili öteki bir farklı bulgu da, makûs gayeli yazılımın, ihlale uğrayan bilgisayarda ele geçirdiği geçerli tarih ve saati C&C sunucusuna göndermeden evvel Asya/Şangay saati dilimine (Çin Standart Saati olarak da bilinir) çeviriyor olması. Ayrıyeten DazzleSpy makûs emelli yazılım birçok Çince iç ileti da içeriyor.