Korece konuşan kişilerden oluşan ve devlet destekli olduğu düşünülen ScarCruft gelişmiş kalıcı tehdit (APT) grubu, siyasi amaçlı bilgi toplamak amacıyla Kore Yarımadası’nda devlet kurumlarını ve şirketleri hedef alıyor. Kaspersky Lab’ın gözlemlediği en son faaliyetlerde grubun kendini geliştirdiği ve yeni araçlar test ettiği görüldü. Mobil cihazlardan elde edilen verilere odaklanan grup, siber casusluk operasyonları için yasal araç ve hizmetlerden yararlanıyor.
Grubun saldırıları, çoğu APT’nin yaptığı gibi hedef odaklı kimlik avı veya ‘tuzak kurma’ ile başlıyor. Stratejik web sitelerinin ele geçirildiği ‘tuzak kurma’ yönteminde, siteye giren belirli ziyaretçilerin cihazlarına zararlı yazılım bulaştırmak için açıklardan yararlanılıyor.
ScarCruft’ın saldırılarında bu aşamanın ardından, Windows UAC (Kullanıcı Hesabı Denetimi) özelliğini aşabilen bir yazılım devreye giriyor. Bu yazılım, normalde kurumlarda yasal sızıntı testleri için kullanılan bir kod aracılığıyla daha yüksek yetki elde ediyor. Zararlı yazılımın ağ seviyesindeyken yakalanmasını önlemek için steganografi tekniği kullanılıyor. Bu teknikte zararlı kodlar bir resim dosyasının içine saklanıyor. Saldırının son aşamasında ise ROKRAT adıyla bilinen bulut tabanlı bir arka kapı kuruluyor. Bu arka kapı, kurbanların sistemlerinden ve cihazlarından birçok bilgiyi alıp Box, Dropbox, pCloud ve Yandex Disk bulut servislerine aktarıyor.
Kaspersky Lab araştırmacıları grubun mobil cihazlardan veri çalmaya ilgi gösterdiğini ve Windows Bluetooth API kullanarak Bluetooth cihazlarını tanımlayan bir zararlı yazılım geliştirdiğini keşfetti.
Yapılan araştırmaya göre, bu saldırının kurbanları arasında Kuzey Kore ile ilişkili Vietnamlı ve Rus yatırım ve ticaret şirketleri ile Hong Kong ve Kuzey Kore’deki diplomatik kurumlar yer alıyor.ScurCruft’ın hedef aldığı Rusya merkezli kurbanlardan birinin daha önce de yine Korece konuşan kişilerden oluşan DarkHotel grubu tarafından hedef alındığı belirlendi.
Kaspersky Lab Global Araştırma ve Analiz Ekibi Kıdemli Güvenlik Araştırmacısı Seongsu Park, “ScarCruft ile DarkHotel’in kesiştiği ilk saldırı bu değil. İki grup benzer yerleri hedef alsa da kullandıkları araçlar, teknikler ve süreçler birbirinden çok farklı. Bu da bir grubun sürekli diğerinin gölgesinde dolaştığını düşünmemize neden oluyor. ScarCruft daha dikkatli ve düşük profil çizmeye çalışan, öte yandan da oldukça yetenekli ve aktif bir grup. Yeni araçlar geliştirip kullanma konusunda son derece becerikliler. Bu grubun kendini geliştirmeye devam edeceğini düşünüyoruz.” dedi.