Kaspersky uzmanları ilk olarak Güneydoğu Asya'da tespit edilen nadir ve geniş ölçekli bir gelişmiş kalıcı tehdit (APT) kampanyasını ortaya çıkardı.
Kaspersky'den yapılan açıklamaya göre, Kaspersky, bazıları devlet kurumlarından olan yaklaşık bin 500 kurban tespit etti. İlk bulaşma, kötü amaçlı bir Word belgesi içeren hedef odaklı kimlik avı e-postaları yoluyla gerçekleşiyor.
Gelişmiş kalıcı tehdit kampanyaları, doğaları gereği yüksek oranda hedefli olarak gerçekleştiriliyor. Çoğu zaman cerrahi bir hassasiyetle yapılıyor ve yalnızca birkaç düzine kullanıcı hedef alınıyor. Kaspersky son zamanlarda nadiren kullanılan, ancak yine de film benzeri saldırı vektörüne sahip nadir, yaygın bir tehdit kampanyasını ortaya çıkardı.
Tehdit sisteme indirildikten sonra kötü amaçlı yazılım, çıkarılabilir USB sürücüler aracılığıyla yayılarak diğer ana bilgisayarlara bulaşmaya çalışıyor. Bir sürücü bulunursa, kötü amaçlı yazılım sürücüde gizli dizinler oluşturuyor ve kötü amaçlı yürütülebilir dosyalarla birlikte kurbanın tüm dosyalarını taşıyor.
LuminousMoth olarak adlandırılan bu faaliyet, Ekim 2020'den bu yana devlet kurumlarına karşı siber casusluk saldırıları düzenliyor. Saldırganlar başlangıçta Myanmar'a odaklanırken, zamanla odağını Filipinler'e kaydırdı. Sisteme giriş noktası genellikle Dropbox indirme bağlantısına sahip hedef odaklı bir kimlik avı e-postası oluyor. Bağlantı tıklandığında, kötü amaçlı yükü içeren Word belgesi kılığında bir RAR arşivi indiriliyor.
Açıklamada değerlendirmelerine yer verilen Küresel Araştırma ve Analiz Ekibi (GReAT) Kıdemli Güvenlik Araştırmacısı Mark Lechtik, "Bu yeni faaliyet kümesi, bir kez daha yıl boyunca tanık olduğumuz bir eğilime işaret ediyor. Çince konuşan tehdit aktörleri, yeni ve bilinmeyen kötü amaçlı yazılım implantlarını yeniden şekillendiriyor ve üretiyor." ifadesini kullandı.
GReAT Güvenlik Araştırmacısı Aseel Kayal da "Saldırı oldukça nadir görülen devasa bir ölçeğe sahip. Filipinler'de Myanmar'dan daha fazla saldırı görmemiz de ilginç. Bunun nedeni USB sürücülerin yayılma mekanizması olarak kullanılması olabilir veya Filipinler'de kullanıldığının henüz farkında olmadığımız başka bir enfeksiyon vektörü olabilir." dedi.
GReAT Kıdemli Güvenlik Araştırmacısı Paul Rascagneres ise "Geçtiğimiz yıl Çince konuşan tehdit aktörlerinin artan etkinliğini görüyoruz. Bu büyük olasılıkla LuminousMoth'un son saldırısı olmayacak. Ayrıca, grubun araç setini daha da geliştirmeye başlama olasılığı da yüksek. Gelecekteki gelişmeleri dikkatle izleyeceğiz." değerlendirmesinde bulundu.
LuminousMoth gibi gelişmiş tehdit kampanyalarından korunmak için Kaspersky uzmanları şunları öneriyor:
"Hedefli saldırıların çoğu kimlik avı veya diğer sosyal mühendislik teknikleriyle başladığı için personelinize temel siber güvenlik hijyeni eğitimi verin.Ağlarınızın siber güvenlik denetimini gerçekleştirin. Çevrede veya ağ içinde keşfedilen zayıflıkları giderin.Anti-APT ve EDR çözümlerinin kullanılması, tehdit keşfi ve tespiti, soruşturma ve olayların zamanında düzeltilmesi yeteneklerini etkinleştirir.
SOC ekibinizin en son tehdit istihbaratına erişimini sağlayın ve profesyonel eğitimlerle düzenli olarak becerilerini yükseltin. Yukarıdakilerin tümü Kaspersky Expert Security çerçevesinde mevcuttur.Uygun uç nokta korumasının yanı sıra, özel hizmetler yüksek profilli saldırılara karşı yardımcı olabilir. Kaspersky Managed Detection and Response hizmeti, saldırganlar hedeflerine ulaşmadan önce, saldırıları erken aşamalarında belirlemeye ve durdurmaya yardımcı olabilir."