ABD savunma sanayinde görev yapan bir çalışan, 2022-2025 yılları arasında sekiz adet yüksek riskli sıfır gün açığını (zero-day vulnerabilities) Rusya bağlantılı bir aracıya sattığı gerekçesiyle hapis cezasına çarptırıldı. Bu açıklar, yalnızca ABD hükümeti ve seçilmiş müttefiklere satılması amaçlanan kritik siber araçlar arasında yer alıyordu.
Saldırının Genel Çerçevesi
Peter Williams isimli şahıs, ticari sır hırsızlığı suçlamalarını kabul ederek, kripto para karşılığında elde ettiği yasa dışı gelirlerle lüks tüketim malları satın aldı. Satılan açıklar, Telegram, Android ve iPhone gibi yaygın kullanılan platformlarda kullanılabilen araçları içeriyor ve bu araçlar fidye yazılımı, devlet destekli casusluk, siber dolandırıcılık gibi çeşitli saldırı senaryolarında kullanılabiliyor.
Olay, Operation Zero (Matrix LLC) adlı yapı ile bağlantılı. Bu yapı, Rus vatandaşı Sergey Sergeyevich Zelenyuk tarafından yönetiliyor ve Birleşik Arap Emirlikleri merkezli Special Technology Services LLC FZ (STS) ile iş birliği içinde faaliyet gösteriyor. ABD Hazine Bakanlığı, bu kişi ve kuruluşları ulusal güvenliğe zarar verdikleri gerekçesiyle yaptırım listesine aldı.
Saldırı Zinciri ve Teknik Detaylar
- İlk aşamada, Williams’ın savunma sanayindeki erişim yetkileri kullanılarak sıfır gün açıkları çalındı.
- Bu açıklar, Telegram ve mobil cihazlar için istismar araçlarına dönüştürüldü.
- Operation Zero, bu araçları yabancı istihbarat ajanslarına ve yetkisiz kullanıcılara satmak üzere sosyal medya üzerinden hackerları işe aldı.
Bu saldırı zinciri, MITRE ATT&CK teknikleri arasında Credential Access, Exploitation for Privilege Escalation ve Command and Control (C2) iletişimini içeriyor olabilir. Ayrıca, kullanılan araçların gelişmiş EDR (Endpoint Detection and Response) ve SIEM (Security Information and Event Management) sistemleri tarafından tespit edilmesi zorlaştırılmıştır.
Siber Güvenlik Ekipleri İçin Öneriler
- Çalışan erişim yetkilerini düzenli olarak gözden geçirip, gereksiz ayrıcalıkları kaldırın.
- EDR çözümlerinde anormal davranış ve yetkisiz veri transferi için özel kurallar oluşturun.
- Çok faktörlü kimlik doğrulama (MFA) uygulayarak kimlik avı ve yetkisiz erişim riskini azaltın.
- SIEM sistemlerinde sıfır gün açığına yönelik göstergeleri (Indicators of Compromise – IoC) takip edin.
- Olay müdahale (incident response) planlarını güncel tutarak, hızlı aksiyon alınmasını sağlayın.
- Ağ segmentasyonu ile kritik altyapıyı dış tehditlerden izole edin.
- Çalışanlara yönelik düzenli e-posta güvenliği ve sosyal mühendislik farkındalık eğitimleri düzenleyin.
Kurumsal Ortamlarda Olası Senaryo
Bir savunma sanayi şirketinde çalışan kötü niyetli bir personel, erişim sağladığı hassas kod ve açıkları çalarak, bunları kripto para karşılığında yabancı bir aracıya satıyor. Bu açıklar, hedef sistemlerde fidye yazılımı saldırılarının veya casusluk faaliyetlerinin gerçekleştirilmesine olanak tanıyor. Sonuçta şirket, milyonlarca dolarlık finansal zarar ve itibar kaybı yaşarken, ulusal güvenlik de ciddi risk altında kalıyor.
Regülasyon ve Uyumluluk Boyutu
Bu tür ticari sır hırsızlıkları, Amerikan Fikri Mülkiyetini Koruma Yasası (PAIPA) kapsamında ciddi yaptırımlara tabi. Ayrıca, uluslararası yaptırımlar ve OFAC kararları, siber suçlulara karşı caydırıcılığı artırmak amacıyla kullanılıyor. Kurumların, KVKK ve benzeri veri koruma mevzuatları çerçevesinde de iç denetimlerini sıkılaştırmaları önem taşıyor.