Kaspersky, Bağımsız Devletler Topluluğu’ndaki devlet kurumlarını hedef alan Tomiris APT grubunu gözlem altına aldı

Kaspersky, Orta Asya’da istihbarat toplamaya odaklanan Tomiris APT kümesi hakkında yeni bir araştırma yayınladı. Rusça konuşan tehdit aktörü, muhtemelen kendisiyle ilişkilendirmeyi engellemek için süratli bir biçimde ve akla gelebilecek tüm programlama lisanlarında geliştirilen çok sayıda berbat maksatlı yazılım implantları kullanıyor. Araştırmacıların bilhassa dikkatini çeken şey, Tomiris’in daha evvel bir öteki makus şöhretli APT kümesi olan Çeşitle ile irtibatlı berbat emelli yazılımları kullanması oldu.

Kaspersky, Tomiris’i ilk sefer Eylül 2021’de Bağımsız Devletler Topluluğu’ndaki (BDT) bir devlet kuruluşuna yönelik DNS korsanlığı soruşturmasının akabinde kamuoyuna açıklamıştı. Araştırmacılar o devirde taarruzun SolarWinds olayıyla kesin olmayan benzerliklere dikkat çekmişti. Araştırmacılar Tomiris’i 2021 ve 2023 yılları ortasında birkaç yeni akın kampanyasında farklı bir tehdit aktörü olarak izlemeye devam ettiler. Kaspersky telemetrisi, kümenin araç setine ve Cinsle ile mümkün irtibatına ışık tutmaya yardımcı oldu.

Nihai emeli saklı evrakları çalmak olan tehdit aktörü, BDT’deki hükümete ilişkin olan ve diplomatik kurumları maksat alıyor. Ortada bir Orta Doğu yahut Güneydoğu Asya üzere öteki bölgelerde de keşfedilen kurbanların BDT ülkelerinin yabancı temsilcilikleri olduğunun ortaya çıkması, Tomiris’in dar bir maksada odaklandığını gösteriyor.

Tomiris çok çeşitli taarruz vektörleri kullanarak kurbanlarının peşine düşüyor. Makus emelli içerik eklenmiş kimlik avı e-postaları (parola muhafazalı arşivler, makûs maksatlı evraklar, silahlandırılmış LNK’ler), DNS ele geçirme, güvenlik açıklarından yararlanma (özellikle ProxyLogon), kuşkulu drive-by indirmeleri ve öteki yaratıcı metotlar Tomiris’in bulaşmak için kullandığı teknikler ortasında yer alıyor.

Tomiris araçları ortasındaki ilgiler. Oklar dağılım temasını gösteriyor.

Ticari araç alışverişinde bulunan farklı aktörler 

Tomiris’in son operasyonlarını özel kılan şey büyük ihtimalle daha evvel Tıpla ile kontaklı olan KopiLuwak ve TunnusSched ziyanlı yazılımlarını kullanmış olmaları. Lakin ortak araç setini paylaşmalarına karşın, Kaspersky’nin son araştırması Tıpla ve Tomiris’in büyük olasılıkla ticari araç alışverişinde bulunan farklı aktörler olduğunu gösteriyor.

Tomiris Rusça konuşmakla birlikte, maksatları ve ticaret için kullandığı teknikler Cinsle için gözlemlenenlerle kıymetli ölçüde çelişiyor. Ayrıyeten Tomiris’in müsaadesiz girişlere dair genel yaklaşımı ve saklılığa olan sonlu ilgisi, daha evvel belgelenmiş Tıpla ticaret teknikleriyle eşleşmiyor. Bununla birlikte Kaspersky araştırmacıları, ortak araç paylaşımının Tomiris ve Tıpla ortasındaki iş birliğinin potansiyel bir delili olduğuna inanıyor. Bu durum Tomiris’in KopiLuwak’ı ne vakit kullanmaya başladığına bağlı olarak, Tıpla ile temaslı olduğu düşünülen bir dizi kampanya ve aracın tekrar değerlendirilmesini gerektirebilir.

Kaspersky Küresel Araştırma ve Tahlil Grubu (GReAT) Kıdemli Güvenlik Araştırmacısı Pierre Delcher, şunları söylüyor: “Araştırmalarımız KopiLuwak yahut TunnusSched kullanımının siber atakları Tıpla ile ilişkilendirmek için artık kâfi olmadığını gösteriyor. Bildiğimiz kadarıyla bu araç seti şu anda Turla’dan farklı olduğuna inandığımız Tomiris tarafından kullanılıyor. Lakin her iki aktör muhtemelen bir noktada işbirliğine gitti. Taktiklere ve berbat maksatlı yazılım örneklerine bakmanın bizi yalnızca bir yere kadar götürdüğünü ve tehdit aktörlerinin örgütsel ve siyasi kısıtlamalara tabi olduğunu sık sık hatırlatıyoruz. Bu araştırma, sadece istihbarat paylaşımı yoluyla üstesinden gelebileceğimiz teknik ilişkilendirmenin hudutlarını gösteriyor.” 

Tomiris APT kümesi hakkındaki raporun tamamını Securelist’te bulabilirsiniz.

Kaspersky araştırmacıları, bilinen yahut bilinmeyen bir tehdit aktörünün maksatlı saldırısının kurbanı olmamak için aşağıdaki tedbirlerin alınmasını öneriyor:

• SOC takımınızın en son tehdit istihbaratına (TI) erişmesini sağlayın. Kaspersky Tehdit İstihbaratı Portalı, şirketin tehdit istihbaratının ortak erişim noktasıdır ve Kaspersky tarafından 20 yılı aşkın bir müddettir toplanan siber taarruz bilgilerini ve içgörülerini sağlar.
• GReAT uzmanları tarafından geliştirilen Kaspersky çevrimiçi eğitimi ile siber güvenlik takımınızın yeteneklerini en son amaçlı tehditlerle çaba edecek biçimde geliştirin.
• Uç nokta seviyesinde tespit, araştırma ve olayların vaktinde düzeltilmesi için Kaspersky Endpoint Detection and Response gibi EDR tahlillerini kullanın.
• Temel uç nokta müdafaasını benimsemenin yanı sıra, Kaspersky Anti Targeted Attack Platform gibi gelişmiş tehditleri ağ seviyesinde erken etapta tespit eden kurumsal seviyede bir güvenlik tahliline başvurun.
• Birçok maksatlı akın kimlik avıyla yahut öteki toplumsal mühendislik teknikleriyle başladığından, takımınıza güvenlik farkındalığı eğitimi verin ve pratik marifetler kazanmalarını sağlayın. Bunu Kaspersky Otomatik Güvenlik Farkındalığı Platformu aracılığıyla yapabilirsiniz.

Kaynak: (BYZHA) Beyaz Haber Ajansı