Kaspersky uzmanları, iOS cihazlarını hedef alan Operation Triangulation saldırısı hakkındaki raporun ardından, saldırılar sırasında kullanılan casus yazılım implantının ayrıntılarına ışık tuttu. TriangleDB olarak adlandırılan implant, saldırganlara gizlice gözetleme yetenekleri kazandırıyor. Yalnızca bellekte çalışan implant, cihaz yeniden başlatıldığında tüm kanıtların silinmesini sağlıyor.
Kaspersky, kısa süre önce iMessage üzerinden özellikle iOS cihazlarını hedef alan yeni mobil Gelişmiş Kalıcı Tehdit (APT) kampanyası hakkındaki yeni detayları paylaştı. Kaspersky araştırmacıları altı aylık araştırmanın ardından istismar zincirinin derinlemesine analizini yayınladı ve casus yazılımın sistemlere nasıl yerleştiğinin ayrıntılarını ortaya çıkardı. TriangleDB olarak adlandırılan implant, hedeflenen iOS cihazında temel ayrıcalıkları elde etmek için çekirdekteki bir güvenlik açığından yararlanılarak dağıtılıyor.
Tehdit bir kez yerleştirildikten sonra yalnızca cihazın belleğinde çalışıyor, dolayısıyla yeniden başlatıldığında bulaşmanın izleri kayboluyor. Sonuç olarak kurban cihazını yeniden başlatırsa, saldırganın kötü niyetli bir ek içeren başka bir iMessage göndererek yeniden bulaştırması ve tüm istismar sürecini bir kez daha baştan başlatması gerekiyor. Yeniden başlatma gerçekleşmezse, saldırganlar süreyi uzatmadığı sürece implant 30 gün sonra kendini otomatik olarak kaldırıyor. Karmaşık bir casus yazılım tekniğiyle çalışan TriangleDB, son derece çeşitli veri toplama ve izleme yeteneklerine sahip.
İmplant toplamda farklı işlevlere sahip 24 komut içeriyor. Bu komutlar cihazın dosya sistemiyle etkileşimi (dosya oluşturma, değiştirme, dışarı sızma ve kaldırma dahil), süreçleri yönetme (listeleme ve sonlandırma), kurbanın kimlik bilgilerini toplamak için anahtarlık öğelerini çıkarma ve diğerlerinin yanı sıra kurbanın coğrafi konumunu izleme gibi çeşitli amaçlara hizmet ediyor.
Kaspersky uzmanları, TriangleDB’yi analiz ederken CRConfig sınıfı populateWithFieldsMacOSOnly adında kullanılmayan bir yöntem içerdiğini keşfetti. Her ne kadar iOS implantında kullanılmamış olsa da bu metodun varlığı benzer bir implant ile macOS cihazlarının hedeflenebileceğini gösteriyor.
Kaspersky Global Araştırma ve Analiz Ekibi (GReAT) Güvenlik Uzmanı Georgy Kucherin, şunları söyledi: “Saldırıyı derinlemesine incelediğimizde çok sayıda ilgi çekici tuhaflık sergileyen sofistike bir iOS implantı keşfettik. Kampanyayı analiz etmeye devam ediyoruz. Bu karmaşık saldırıya ilişkin daha fazla bilgi ile herkesi güncel tutacağız. Siber güvenlik topluluğunu, tehditler hakkında daha net bir görünüm elde etmek için birleşmeye, bilgi paylaşmaya ve iş birliği yapmaya çağırıyoruz.”
Kaspersky araştırmacıları, kötü amaçlı yazılımların bulaşmasını otomatik olarak arayan özel bir ‘triangle check’ yardımcı programı yayınladı. Cihazınızı nasıl kontrol edeceğinize dair ayrıntılı bir kılavuz için blog yazısını okuyabilirsiniz.
Kaspersky araştırmacıları, bilinen veya bilinmeyen tehdit aktörlerinin hedefli saldırılarının kurbanı olmamak için aşağıdaki önlemleri almanızı öneriyor:
- Uç nokta düzeyinde tespit, araştırma ve olayların zamanında düzeltilmesi için Kaspersky Unified Monitoring and Analysis Platform (KUMA) gibi işletmeler için güvenilir bir güvenlik çözümü kullanın.
- Microsoft Windows işletim sistemini ve diğer üçüncü taraf yazılımları mümkün olan en kısa sürede güncelleyin ve bunu düzenli olarak yapın.
- SOC ekibinizin en son tehdit istihbaratına (TI) erişimini sağlayın. Kaspersky Threat Intelligence, şirketin tehdit istihbaratına erişim noktasıdır ve Kaspersky tarafından 20 yılı aşkın süredir toplanan siber saldırı verilerini ve içgörüleri sağlar.
- GReAT uzmanları tarafından geliştirilen Kaspersky çevrimiçi eğitimi ile siber güvenlik ekibinizin yeteneklerini en son hedefli tehditlerle mücadele edecek şekilde geliştirin.
- Hedefli saldırıların çoğu kimlik avı veya diğer sosyal mühendislik teknikleriyle başladığından, güvenlik farkındalığı eğitimi verin ve ekibinize pratik beceriler öğretin. Bunu Kaspersky Automated Security Awareness Platform aracılığıyla yapabilirsiniz.
