Kuzey Kore'nin Lazarus Grubu yine saldırdı; bu kez en eski numaralarından birini en yeni araçlarından biriyle birleştirdi. Yeni bir rapora göre devlet destekli hack grubu, savunma ve havacılık kuruluşlarına sızmak için sahte iş tekliflerini ve daha önce bilinmeyen bir Windows zero-day açığını kullandı. Bu kampanya, savunma sektörünü yıllardır rahatsız eden uzun süreli bir casusluk faaliyeti olan Operation Dream Job'ın yeni bir bölümü; ancak bu son dalga, grubun istediğini elde etmek için değerli, açıklanmamış istismar kodlarını harcamaya istekli olduğunu gösteriyor.
Sahte İş Dolandırıcılığı Nasıl Çalışıyor?
Saldırı, daha önce Lazarus'un faaliyetlerini izleyen herkes için tanıdık bir örüntüyü izliyor. İşe alım uzmanı gibi davranan biri, savunma veya havacılık firmasındaki bir çalışana ulaşıyor ve hedefin tanıyacağı bir şirkette iş fırsatı sunuyor. Yaklaşım gerçekçi hissettiriyor çünkü gerçek işe alım iletişimini taklit ediyor: profesyonel mesajlar, makul bir pozisyon ve hemen şüphe uyandırmayacak kadar ayrıntı.
Bu yeni bir taktik değil. Daha önce Operation Dream Job'ın savunma ve havacılık firmalarını vurması başlıklı yazımızda ele aldığımız gibi saldırganlar, sahte fırsatları gerçekmiş gibi hissettirmek için bu yemleri yıllardır geliştiriyor. Bu son kampanyayı farklı kılan şey, konuşmanın sonunda bekleyen yük. Hedef bir kez etkileşime girdiğinde saldırganlar, saldırı sırasında Microsoft tarafından bilinmeyen ve yama uygulanmamış bir Windows zero-day açığını kullanan bir dosya veya bağlantı gönderiyor. Bu da standart güvenlik yazılımlarının bunu tespit edecek bir imzasının olmadığı ve hedefin sisteminin belirgin bir uyarı işareti olmadan ele geçirilebileceği anlamına geliyor.
Windows Zero-Day Boyutu
Zero-day açıkları tam da bilinmedikleri için değerlidir. Birine sahip olan saldırganlar, normalde bilinen bir istismarı durduracak yamalı savunmaları atlatabilir. Lazarus'un burada bir zero-day kullanması, devlet desteğiyle tutarlı bir kaynak ve teknik gelişmişlik düzeyine işaret ediyor ve güvenlik araştırmacılarının daha önce gördüğü bir örüntüyü yansıtıyor. Daha geçen yıl Microsoft, Lazarus ile bağlantılı kötü amaçlı yazılım yüklemek için halihazırda gerçek ortamda kullanılan ayrı bir Windows zero-day açığını yamalamak zorunda kalmıştı; ayrıntıları Microsoft'un Lazarus bağlantılı rootkit açığı için yayımladığı yama haberimizde bulabilirsiniz. Bu yeni açık henüz yamalanmış olsun ya da olmasın, altta yatan ders aynı: yalnızca Microsoft'un aylık güncelleştirme döngüsüne güvenmek, kararlı saldırganların kullanmaya hevesli olduğu bir maruz kalma penceresi bırakır.
Bu Neden Savunma Yüklenicilerinin Ötesinde Önemli?
Bunu yalnızca savunma ve havacılık alanında çalışanları etkileyen bir hikâye olarak okumak cazip gelebilir, ancak gizlilik açısından sonuçları daha geniş. Lazarus yalnızca kurumları değil, bireyleri de hedef alıyor. Sahte iş teklifini alan çalışan genellikle yanlış bir şey yaptığı için değil; erişimi, bağlantıları veya cihazındaki hassas veriler nedeniyle seçiliyor. Ele geçirildikten sonra o tek dizüstü bilgisayar, daha geniş bir ağa sızma noktası hâline gelebilir; kişisel iletişimleri, kimlik bilgilerini ve potansiyel olarak gizli veya tescilli bilgileri açığa çıkarabilir.
Bu kampanya aynı zamanda daha geniş bir eğilimin altını çiziyor: sosyal mühendislik, iyi finanse edilen güvenlik altyapılarını bile aşmanın en etkili yollarından biri olmaya devam ediyor. Hiçbir güvenlik duvarı veya uç nokta koruma aracı, birini dosya açmaya ikna eden inandırıcı bir mesajı tamamen telafi edemez. Zero-day bu saldırıyı daha tehlikeli hâle getirdi; ancak ilk giriş noktası her zamanki gibi insan güveniydi.
Bu Sizin İçin Ne Anlama Geliyor?
Çoğu okuyucu hiçbir zaman bir Lazarus oltalama mesajı almayacak, ancak buradaki taktikler daha az karmaşık dolandırıcılıklarda da giderek yaygınlaşıyor. Sahte işe alım uzmanları, iş dolandırıcılıkları ve teklif mektubu veya kodlama testi gibi görünen kötü amaçlı ekler, LinkedIn ve e-posta gibi platformlarda sıradan hâle geldi. Savunma, havacılık, teknoloji veya araştırma gibi hassas bir sektörde çalışıyorsanız, istenmeyen iş tekliflerine şüpheli bir faturaya ya da gerçek olamayacak kadar iyi bir ödül bildirimine göstereceğiniz şüpheyle yaklaşın.
Bireysel dikkatin ötesinde bu olay, işletim sisteminizi ve güvenlik yazılımlarınızı güncel tutmanın önemli olduğunu hatırlatıyor; her ne kadar bir zero-day tanımı gereği önceden yamamlanamasa da. Böyle bir açık kamuoyuna duyurulduğunda satıcılar genellikle hızla bir düzeltme yayımlar ve bu güncelleştirmeyi geciktirmek, açığı yamanın kendisinden tersine mühendislikle çözen saldırganlara maruz kalmanıza yol açar.
Uygulanabilir Öneriler
Herhangi bir bağlantıya tıklamadan veya ek indirmeden önce işe alım uzmanının iletişimini bağımsız olarak doğrulayın; ideal olarak şirketle resmî kanalları üzerinden doğrudan iletişime geçin. İş tanımı veya değerlendirme testi gibi görünse bile beklenmedik dosyaları önce taramadan açmaktan kaçının. Yamalar yayımlanır yayımlanmaz Windows'u ve tüm yazılımları güncelleyin; çünkü ayrıntılar sızdığında zero-day'leri genellikle hızla daha geniş istismar takip eder. Savunma veya havacılık gibi yüksek değerli bir sektörde çalışıyorsanız, şüpheli iş tekliflerini tek başınıza ele almak yerine kuruluşunuzun güvenlik ekibine bildirin. Lazarus'un sahte iş teklifleri ve Windows zero-day istismarı, deneyimli profesyonellerin bile son derece inandırıcı yemlerle hedef alınabileceğini gösteriyor; ancak sağlıklı dozda şüphecilik ve iyi güvenlik hijyeni en iyi savunmanız olmaya devam ediyor.
