Siber güvenlik şirketi "Kaspersky" araştırmacıları, Kuzey Koreli hack grubu Lazarus Group'a atfedilen ve FlashHole adını verdikleri siber saldırı kampanyasında benzeri görülmemiş ve gelişmiş bir teknik yöntem tespit etti. Güney Kore'deki kurumları hedef alan bu kampanyada saldırganlar, Komuta ve Kontrol (C2) sunucularıyla iletişimlerini güvence altına almak için standart ML-KEM şifreleme algoritmasını (daha önceki adı Kyber) kullanıyor.
Karmaşık Saldırı Mekanizması
Kampanya, kurbanları özellikle hazırlanmış GitHub depolarına yönlendiren oltalama sayfalarıyla başlayan karmaşık bir enfeksiyon zincirine dayanıyor. Bu sayfalar, Güney Kore'de yaygın olarak kullanılan INISAFE CrossWeb EX adlı bir güvenlik aracını kötüye kullanarak cihaz belleğinde bir dizi komutun yürütülmesine yol açan JavaScript kodu yükler. Bu araç aracılığıyla, özel GitHub depolarından ek zararlı yazılımlar getiren TechHub adlı bir indiriciyi yükleyen bir kod parçasını çalıştırmak için meşru bir Windows sistem dosyası (fsquirt.exe) çalıştırılır.
Bu Haber Neden Önemli?
Zararlı yazılım saldırılarında Kuantum Dirençli Kriptografi (Post-Quantum Cryptography) kullanılması dikkate değer bir gelişmedir. ML-KEM gibi standartlar verileri "şimdi ele geçir, sonra şifresini çöz" saldırılarından korumak için tasarlanmış olsa da, saldırganlar bu teknolojiyi zararlı yüklerini güvenlik izleme sistemlerinden gizlemek için kötüye kullandı. LPEClient zararlı yazılımı, gelen yüklerin güvenli ve gizli bir şekilde şifresinin çözülmesine olanak tanıyan ortak anahtarlar oluşturmak için saldırganın sunucusuyla ortak anahtar alışverişinde bulunur.
Lazarus Cephaneliğindeki Ek Araçlar
Gelişmiş şifrelemenin yanı sıra kampanya şu araçları da kullanmaktadır:
- ClientHub: Dropbox hizmeti üzerinden iletişimi ve LPEClient ile doğrudan veri alışverişini destekleyen bir yükleyici araç.
- Cubridge: Dosya yönetimi, komut yürütme ve keşif yeteneklerinin yanı sıra ekran görüntüsü alma özellikleri sunan modüler bir arka kapı (Backdoor).
- Veri Hırsızlığı Araçları: Kimlik bilgilerini, çerezleri ve tarama geçmişini çալmak için Chromium tabanlı web tarayıcılarını hedefleyen yazılımlar.
Analizler, Lazarus'un bu operasyondaki kodunun çoğunun, kurbanın sabit diskinde dosyalar bırakan bazı kalıcılık mekanizmaları bulunmasına rağmen dijital ayak izini en aza indirmek için bellek içinde (In-memory) çalıştığını gösteriyor. Kaspersky, bu operasyonu Cascade Hole olarak bilinen daha geniş bir faaliyetle ilişkilendirerek grubun geleneksel güvenlik savunmalarını atlatmak için taktiklerini geliştirmeye devam ettiğini doğruluyor.