Kaspersky Lab'ın gelişmiş saldırı önleme sistemi, BlackOasis hacker grubu tarafından bir saldırıda kullanılan, “Adobe Flash” temelli yeni bir “Zero Day” güvenlik açığı tespit etti.
Kaspersky Lab'ın gelişmiş saldırı önleme sistemi, BlackOasis hacker grubu tarafından bir saldırıda kullanılan, “Adobe Flash” temelli yeni bir “Zero Day” güvenlik açığı tespit etti. Bu saldırı, bir Microsoft Word belgesi aracılığıyla FinSpy zararlı yazılımını çalıştırıyor. Kaspersky Lab, bu saldırıya açık durumu Adobe’ye bildirdi ve Adobe tarafından da uyarı amaçlıyayınladı.
Kaspersky Lab araştırmacıları, Zero Day olarak bilinen CVE-2017-11292’yi, canlı bir saldırı esnasında tespit etti. İşletmelerin ve devlet kurumlarının güncellemeyi bir an önce Adobe'den indirmeleri tavsiye ediliyor. Araştırmacılar saldırının ardındaki grubun, Eylül ayında bir başka “Zero Day” açığı olan CVE-2017-8759'dan da sorumlu ve 2016’dan beri takip edilen BlackOasis olduğunu düşünüyorlar.
Analiz, güvenlik açığından başarıyla yararlanıldığında, hedeflenen bilgisayara FinSpy adlı kötü amaçlı yazılımın (FinFisher da diyebiliriz) yüklendiğini ortaya koyuyor. Kötü amaçlı yazılım olan FinSpy, genellikle ulus devletlere ve güvenlik güçlerine daha rahat gözetim yapabilmeleri için satılıyor. Geçmişte, bu tarz kötü amaçlı yazılımların çoğunlukla, güvenlik güçleri tarafından yerel hedefleri gözetmek için kullanıldığı ve yayıldığı görülüyor. BlackOasis, bu zararlı yazılımı dünyadaki geniş hedef kitleler üzerinde kullanarak önemli bir fark yarattı. Bu, FinSpy'nin küresel istihbarat operasyonunu beslediğini; ülkelerin bunu birbirlerine karşı kullandığını gösteriyor. FinSpy gibi gözetim yazılımı geliştiren şirketler, bu yazılımsal anlamdaki silahlanma yarışını mümkün kılıyor.
Saldırıda tespit edilen zararlı yazılım, FinSpy’ın, “birden fazla “anti-analiz” tekniği ile geliştirilmiş, bu sayede adli analizi oldukça zor hale getiren en son sürümü. Yazılım, yükleme işleminden sonra saldırıya uğrayan bilgisayarda bir dayanak noktası oluşturduktan sonra, İsviçre, Bulgaristan ve Hollanda’daki kontrol sunucularına bağlanıp, siber saldırganların veri sızdırması için uygun bir ortam yaratıyor.
Kaspersky Lab’ın değerlendirmesine göre, BlackOasis'in ilgi alanını, Birleşmiş Milletlerin önde gelen isimleri, muhalif blog yazarları ve bölgesel haber muhabirleri de dâhil olmak üzere, Orta Doğu siyasetinde yer alan figürlerin tamamı kapsıyor. Araştırmacılar, uluslararası aktivistlere ve düşünce kuruluşlarına da ilgi gösteren BlackOasis’in 2016 yılı boyunca, petrol ticareti ve kara para aklama gibi konularla gündeme gelen, bunları da dokümanlarla ispat ettikleri Angola ile de yakından ilgilendiğini gözlemlediler. BlackOasis şu ana kadar Rusya, Irak, Nijerya, Libya, Ürdün, Tunus, Suudi Arabistan, İran, Hollanda, Bahreyn, Birleşik Krallık ve Angola’da tespit edildi.
Zero Day güvenlik açığından faydalanan yeni nesil FinSpy yazılımının, bu yıl Zero Day açıkları üzerinden gerçekleşen üçüncü FinSpy saldırısı olduğunu belirten Kaspersky Lab Baş Analisti Anton Ivanov şunları söylüyor: “Daha önce bu zararlı yazılımla hareket eden siber saldırganlar, Microsoft Word ve Adobe ürünlerindeki kritik açıkları kötüye kullanıyorlardı. FinSpy yazılımına dayanan ve son olarak paylaşılan “Zero Day” açıklarıyla desteklenen saldırı sayısının artmaya devam edeceğini düşünüyoruz."
Kaspersky Lab güvenlik çözümleri, yeni keşfedilen güvenlik açığından yararlanan bu uygulamaları algılayıp, başarıyla engelliyor. Kaspersky Lab uzmanları, kurumlara cihazlarını korumaları için aşağıdakileri önlemleri almalarını tavsiye ediyor:
- Henüz uygulanmadıysa, Flash yazılımı için “killbit” özelliğini kullanın ve mümkünse tamamen devre dışı bırakın.
- Tüm ağları, sistemleri ve uç noktaları kapsayan gelişmiş, çok katmanlı bir güvenlik çözümü uygulayın.
- Personeli, sosyal mühendislik taktikleri konusunda eğitmek büyük önem taşıyor. Çünkü bu yöntem, genellikle bir kurbanın kötü amaçlı bir belgeyi açmasını veya virüs bulaşmış bir bağlantıyı tıklamasını amaçlıyor.
- Şirketin ve kurumun, BT altyapısı üzerinde düzenli güvenlik testleri gerçekleştirin.
- Siber saldırıları, olayları veya tehditleri izleyen, müşterilere yeni nesil tehditler hakkında güncel bilgiler veren, Kaspersky Lab'ın “Tehdit İstihbaratı”nı (Threat Intelligence) kullanın.
Daha fazla bilgi için intelreports@kaspersky.com adresini ziyaret edebilirsiniz.
